안녕하세요. 패스코리아넷입니다.

 

2026년 10월 21일 밤 11시경, 심각한 PHP 취약점이 공개되어 조치 안내드립니다.

 

취약점 정보) CVE-2026-109618, CVE-2026-109619

한국인터넷진흥원 : https://knvd.krcert.or.kr/info/vuln/notice/detail?id=6ad8c80eb5290478048f38cf

PHP 공식 사이트(영문) : https://www.php.net/archive/2026.php#2026-10-21-5

 

PHP 코어에서 보안 취약점이 발견되어, PHP 업데이트로만 해결이 가능한 상황입니다.

(엔메일 프로그램 업데이트가 아닌, 서버에 설치된 PHP 패키지 업데이트 작업 필요)

 

Nmail PHP 3 는 2017년도 출시되어, PHP 5.3 ~ 7.0 버전까지만 지원하고 있습니다.

따라서 PHP 8.5 에서는 동작이 불가능하고, PHP 7.0 버전까지만 동작이 가능합니다.

 

따라서 유지보수 고객사에는 다음처럼 취약점 완화 조치를 진행후, 개별 안내드리고 있습니다.

 

1. PHP 7.4 에서 보안 패치만 PHP 7.0으로 백포트하여, 자체 빌드한 PHP 7.0.33-47-sec1 패키지로 업데이트 진행.

 

2. CentOS 7 기반 Apache mod_php + PHP 5.4 구성인 경우, 취약 검증 코드가 공개된 mod_php 대신 PHP FPM 7.0 보안패치 구성으로 변경.

 

3. php.ini 에서 다음 설정을 추가하여 PHP 세션 업로드 상태 비활성화, PHP 버전 숨기기 지원

 

session.upload_progress.enabled = Off

expose_php = Off

 

* 3번 항목은 서버관리자가 계실 경우, 직접 시도해보실 수 있습니다.

 

참고) PHP  보안 업데이트 불가시, php.ini 를 직접 수정하실 경우 주의사항입니다.

 

memory_limit = -1

->

메모리 무제한 허용시, 서버 다운 가능성이 있어 권장하지 않습니다.

 

post_max_size, upload_max_filesize 줄이기

->

업로드 용량을 줄일 경우 웹메일 일반첨부, 대용량 첨부 기능에 영향을 줍니다.

[메일서버관리 - 서버 설정 - 용량 설정]에서 용량도 함께 줄여주셔야 합니다.

 

fatal_error_backtraces

->

PHP 8.5 전용으로 PHP 5.3 ~ 7.0 에는 불필요합니다.

 

display_errors = Off

->

PHP 에러는 숨겨도 엔메일 사용에 영향을 주지 않습니다.

 

 

* php.ini 수정 관련 궁금해하시는 내용만 정리해드렸으며, PHP 보안 패치 없이 php.ini 수정만으로는 취약점 완화가 어렵습니다.

 

감사합니다.