주 콘텐츠로 건너뛰기

공지사항

    [공지] 2026.10.22 PHP 제품 보안 업데이트 권고

  • 만듦 :
  • 편집된 시간 :

    • 1. 개요

    최근 The PHP Group은 자사 제품에서 발생하는 취약점에 대해 공개하였고, 2026.10.21에 KISA에서는 해당 내용에 대한 공지를 등록했습니다.

    이에 안랩은 해당 취약점들이 자사 제품에 미치는 영향 여부를 점검하였으며, 그 결과를 아래와 같이 안내드립니다.

     

    2. 대상 취약점

    CVE 번호관련 오픈소스취약점 개요
    CVE-2026-109618PHP 8.2 ~ PHP 8.5PHP에서 발생하는 Improper Handling of Exceptional Conditions 취약점
    CVE-2026-109619PHP 8.2 ~ PHP 8.5PHP에서 발생하는 Use After Free 취약점

     

    3. 제품별 점검 결과

    제품영향도대응 계획 (일정)비고
    AhnLab Safe Transaction해당 없음별도 조치 불필요 
    V3 Mobile Plus해당 없음별도 조치 불필요 
    Mobile Engine Suite해당 없음별도 조치 불필요 
    TS Engine Suite해당 없음별도 조치 불필요 
    Transaction Security Center해당 없음별도 조치 불필요 
    MDS

    FW 2.1.21 ~ 2.1.23

    • PHP 8.2.4
    • 취약 버전에 해당되나 영향도 없음

    FW 2.1.24

    • PHP 8.3.14
    • 취약 버전에 해당되나 영향도 없음 

    FW 2.1.25 이상

    • PHP 제거 완료
    • 영향 없음

     

    • 별도 조치 불필요
    • FW 2.1.24 이하 버전 PHP 제거를 위해서는 FW 2.1.25 이상 업그레이드 필요
    • MDS 2.1.24 이하 버전에서 PHP를 사용하나, 취약점의 공격 성립 조건에 해당하지 않아 영향 없음
    • MDS 내 PHP는 php-fpm, php-cgi 등을 사용하지 않음
    • 외부 서비스 포트가 열려있지 않으며, 파일 업로드 등 외부 입력 처리 기능을 수행하지 않음
    • 오직 내부 엔진 업데이트 스크립트 실행 용도로만 동작 
    • 따라서 외부 공격자가 해당 취약점을 악용하거나 공격을 시도할 수 있는 경로가 존재하지 않음
    XDR

    Self-Hosted 1.2.14 이하 : 
    취약 버전 사용

    SaaS : 해당 없음

    Self-Hosted 

    • 2026.12월 패치에서 서비스 삭제
    • 수동 조치 방안은 티켓으로 문의 부탁드립니다.
    		 
    EPS해당 없음별도 조치 불필요 
    ICM해당 없음별도 조치 불필요 
    XTD해당 없음별도 조치 불필요 
    SOAR해당 없음별도 조치 불필요 
    EPP Management해당 없음별도 조치 불필요 
    EDR Analyzer해당 없음별도 조치 불필요 
    CPP Management해당 없음별도 조치 불필요 
    V3 Internet Security 9.0해당 없음별도 조치 불필요 
    V3 Net for Windows Server 9.0해당 없음별도 조치 불필요 
    V3 Net for Linux해당 없음별도 조치 불필요 
    V3 Net for Unix해당 없음별도 조치 불필3.6.18 미만 버전에서 사용된 php가 있으나, 이후 버전부터는 vue와 caddy로 변경되면서 php  관련 파일은 모두 제거됨. php에 대한 일부 정보 파일은 잔존해있을 수 있음. (사유 : 해당 변경 시점에 이슈 대응을 위해 롤백 목적으로 정보 파일은 남겨둠) 
    XTG, XTG VM해당 없음PHP 8.5.12 이상 버전으로 업그레이드 예정
    → XTG 1.1.2 비정기 펌웨어 반영 예정(12/24)    		외부 서비스 오픈되어 있지 않고 보고서 생성 시에만 활용되므로 영향도 없음
    TG, vTG낮음PHP 7.4 이상 버전으로 업그레이드 예정
    → TG 3.0.8 비정기 펌웨어 반영 예정(10/30)
    → TG 3.1.4 비정기 펌웨어 반영 예정(10/30)
    → TG 3.0.2 비정기 펌웨어 반영 예정(10/30)
    → vTG 1.1.5 비정기 펌웨어 반영 예정(10/30)

    인가된 관리자 IP만 접근 가능한 폐쇄형 환경으로 운영되어, 외부에 취약점이 직접 노출되지 않음을 확인

    • 임시 조치
      • SSLVPN 다운로드 페이지: 패치 전까지 비활성화(Off)하여 외부에 노출되지 않도록 설정
      • 관리자 페이지: 인가된 관리자 접근 IP만 접속 가능하도록 제한
    DPX낮음PHP 8.4.27 이상 버전으로 업그레이드 예정
    → DPX 2.1.2 비정기 펌웨어 반영 예정(10/30)
    TMS낮음PHP 8.5.12 이상 버전으로 업그레이드 예정
    → TMS 3.3.3 비정기 펌웨어 반영 예정(10/30)
    AIPS해당 없음
    • PHP 미사용으로 영향 없음
    		N/A
    Office Security Center해당 없음별도 조치 불필요 

    점검 결과가 확인되는 제품은 계속 업데이트하겠습니다. 

    감사합니다.

    관련 문서

    목차