안녕하세요. 패스코리아넷입니다.

 

2026년 10월 21일 밤 11시경, 심각한 PHP 취약점이 공개되어 조치 안내드립니다.

 

취약점 정보) CVE-2026-109618, CVE-2026-109619

한국인터넷진흥원 : https://knvd.krcert.or.kr/info/vuln/notice/detail?id=6ad8c80eb5290478048f38cf

PHP 공식 사이트(영문) : https://www.php.net/archive/2026.php#2026-10-21-5

 

PHP 코어에서 보안 취약점이 발견되어, PHP 업데이트로만 해결이 가능한 상황입니다.

(엔메일 프로그램 업데이트가 아닌, 서버에 설치된 PHP 패키지 업데이트 작업 필요)

 

Nmail PHP 3 는 2017년도 출시되어, PHP 5.3 ~ 7.0 버전까지만 지원하고 있습니다.

따라서 PHP 8.5 에서는 동작이 불가능하고, PHP 7.0 버전까지만 동작이 가능합니다.

 

현재 유지보수 고객사에는 다음처럼 취약점 완화 조치를 진행후, 개별 안내드리고 있습니다.

(26.10.26 21:00 유지보수 고객사 1차 작업 완료)

 

1. PHP 7.4 에서 보안 패치만 PHP 7.0으로 백포트하여, 자체 빌드한 PHP 7.0.33-47-sec1 패키지로 업데이트 진행.

 

26.10.26 추가) 유지보수 계약이 없는 경우, 이번 보안 패치만 1회성 유상 작업 지원이 가능합니다. 

- 홈페이지 [도입 문의] 에서 '업그레이드 견적'을 선택후, 제목에 'PHP 보안 업데이트'로 접수.

- 작업 결정시 절차 : 서버 환경 사전 분석 -> 보안 패치 적용 작업 실행 -> 테스트 및 모니터링 -> 장애/호환성 이슈시 1개월내 무상 롤백 지원

- 참고) 현재 지원 가능한 서버 환경

- OS : Rocky 8, CentOS 6/7, Windows Server 2008/2012/2016/2025
- PHP 동작 모드 : Apache mod_php, Apache + PHP-FPM, PHP 별도 컴파일 설치, Nginx + PHP-FPM

 

2. CentOS 7 기반 Apache mod_php + PHP 5.4 구성인 경우, 취약 검증 코드가 공개된 mod_php 대신 PHP FPM 7.0 보안패치 구성으로 변경.

 

3. php.ini 에서 다음 설정을 추가하여 PHP 세션 업로드 상태 비활성화, PHP 버전 숨기기 지원

 

session.upload_progress.enabled = Off

expose_php = Off

 

* 3번 항목은 서버관리자가 계실 경우, 직접 시도해보실 수 있습니다.

 

참고) PHP  보안 업데이트 불가시, php.ini 를 직접 수정하실 경우 주의사항입니다.

 

memory_limit = -1

->

메모리 무제한 허용시, 서버 다운 가능성이 있어 권장하지 않습니다.

 

post_max_size, upload_max_filesize 줄이기

->

업로드 용량을 줄일 경우 웹메일 일반첨부, 대용량 첨부 기능에 영향을 줍니다.

[메일서버관리 - 서버 설정 - 용량 설정]에서 용량도 함께 줄여주셔야 합니다.

 

fatal_error_backtraces

->

PHP 8.5 전용으로 PHP 5.3 ~ 7.0 에는 불필요합니다.

 

display_errors = Off

->

PHP 에러는 숨겨도 엔메일 사용에 영향을 주지 않습니다.

 

 

* php.ini 수정 관련 궁금해하시는 내용만 정리해드렸으며, PHP 보안 패치 없이 php.ini 수정만으로는 취약점 완화가 어렵습니다.

 

감사합니다.