KISA 보안공지 4건 상세 분석 | Node.js, Laravel, Oracle, PHP2Shell 업데이트와 대응 수칙

KISA 보호나라 보안공지 목록과 4개 대상의 성격

보호나라 보안공지 목록 1쪽에는 2026년 10월 23일자로 Node.js 제품 보안 업데이트 권고, Laravel 제품 보안 업데이트 권고, Oracle 제품 보안 업데이트 권고가 나란히 등록되어 있다. 같은 목록에는 2026년 10월 22일자로 등록된 PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙이 공지 고정으로 붙어 있다. 목록 1쪽에는 2026년 10월 21일자로 등록된 PHP 제품 보안 업데이트 권고도 존재하며 이는 PHP2Shell 기업 보안 대응 수칙의 참고 5번 자료에 해당한다.

이번에 공개된 4건의 공지는 문서의 성격에 따라 두 갈래로 나뉜다. Node.js, Oracle, Laravel 3건은 제조사 및 오픈소스 프로젝트가 발표한 취약점 패치 버전을 사용자에게 안내하는 제품 보안 업데이트 권고다. 이들 공지는 영향을 받는 버전을 사용하는 시스템 관리자에게 공식 해결 버전으로 업그레이드할 것을 요구한다.

반면 PHP2Shell 공지는 단순한 패치 권고를 넘어선 기업 보안 대응 수칙이다. KISA는 보안 업데이트 배포 전에 취약점 정보가 유출되었고 해외 보안업체를 중심으로 실제 공격 시도가 보고되고 있는 점을 명시했다. 공격 성공 시 원격조종 파일(웹셸) 설치, 고객정보 유출, 홈페이지 변조, 내부망 침투로 이어질 수 있어 실서버 전수 점검과 임시 조치, 침해 사고 시 대응 요령을 포괄하는 상세 수칙이 함께 발표되었다.

OpenJS 재단 Node.js 보안 업데이트 권고

KISA는 OpenJS 재단이 Node.js에서 발생하는 취약점을 해결한 보안 업데이트를 발표했다고 안내했다. OpenJS 재단의 공식 발표 문서 제목은 Wednesday, October 21, 2026 Security Releases이며 최종 갱신 시점은 2026년 10월 21일이다. 이번 보안 릴리스는 Node.js 26.x, 24.x, 22.x 라인을 대상으로 제공되며 다운로드 가능한 버전은 Node.js v22.23.4, v24.22.1, v26.12.1이다.

Node.js 프로젝트는 이번 릴리스에서 해결된 가장 높은 심각도 수준을 HIGH로 지정했다. Node.js 22, 24, 26 계열 각각의 심각도 역시 HIGH로 분류되었다. 공식 문서는 지원 종료(End-of-Life) 버전의 경우 보안 릴리스가 나올 때 항상 영향을 받는다고 명시하며 릴리스 일정표에 안내된 지원 중인 최신 버전을 사용할 것을 당부했다.

KISA 공지 표에 명시된 high 심각도 취약점 4건의 상세 내역은 다음과 같다.

첫째, CVE-2026-105482는 NUL 문자 중립화 미흡 취약점(Improper Neutralization of Null Byte or NUL Character)이다. dns.resolve 함수가 NUL 문자가 포함된 이름을 처리할 때 문자열을 잘라내는 문제로 인해 발생한다. 영향 버전은 Node.js 22.23.4 미만, 24.22.1 미만, 26.12.1 미만이며 해결 버전은 22.23.4 이상, 24.22.1 이상, 26.12.1 이상이다.

둘째, CVE-2026-105483은 호스트 불일치 인증서 검증 미흡 취약점(Improper Validation of Certificate with Host Mismatch)이다. IP 주소가 전각 숫자로 작성되었을 때 TLS 인증서 호스트명 검증을 우회할 수 있다. 영향 버전은 Node.js 24.22.1 미만과 26.12.1 미만이며 KISA 표에 22 계열 행은 없다. 해결 버전은 24.22.1 이상, 26.12.1 이상이다.

셋째, CVE-2026-106069 역시 호스트 불일치 인증서 검증 미흡 취약점이다. 호스트명이 IP 주소로 느슨하게 확인될 때 TLS 인증서 호스트명 검증이 우회되는 결함이다. 영향 버전은 Node.js 22.23.4 미만, 24.22.1 미만, 26.12.1 미만이며 해결 버전은 22.23.4 이상, 24.22.1 이상, 26.12.1 이상이다.

넷째, CVE-2026-111497은 반환값 미확인 및 범위 밖 쓰기 취약점(Unchecked Return Value, Out-of-bounds Write)이다. Node.js 브로틀리(Brotli) 디코더의 범위 밖 쓰기 결함으로 인해 프로세스 종료, 프로세스 메모리 노출, 원격 코드 실행으로 이어질 수 있다. 영향 버전은 Node.js 22.23.4 미만, 24.22.1 미만, 26.12.1 미만이며 해결 버전은 22.23.4 이상, 24.22.1 이상, 26.12.1 이상이다.

핵심 포인트: Node.js 보안 릴리스는 브로틀리 디코더 원격 코드 실행 취약점과 TLS 인증서 호스트 우회 결함을 포함하므로 운영 환경의 런타임을 v22.23.4, v24.22.1, v26.12.1 이상으로 즉시 갱신해야 한다.

이번 릴리스는 내장 의존성 라이브러리의 보안 갱신도 포함했다. c-ares와 ca-cert(eMudhra Intermediate CA Compromise 반영)와 Undici는 26.x, 24.x, 22.x 계열 전체에 업데이트되었다. OpenSSL은 24.x와 22.x에 적용되었고 SQLite는 22.x에 반영되었다. 공식 문서에는 KISA 표에 없는 medium 심각도 3건(CVE-2026-105481, CVE-2026-106072, CVE-2026-106074)과 low 심각도 3건(CVE-2026-106070, CVE-2026-106071, CVE-2026-106073)도 함께 수록되었다.

Laravel Framework 인증 우회 취약점과 업데이트 권고

KISA는 Laravel 프로젝트가 자사 제품에서 발생하는 취약점을 해결한 보안 업데이트를 발표했다고 공지했다. 해당 취약점은 Composer 패키지 laravel/framework에서 확인된 CVE-2026-114509이며 부적절한 인증(Improper Authentication) 유형으로 분류되었다.

GitHub 보안 권고(GHSA-f9x3-7vq9-cph6)의 공식 제목은 Token-based API guard Auth Bypass다. 심각도는 Critical로 책정되었으며 GitHub Advisory API 기준 CVSS v4 점수는 9.2다. 공통 취약점 유형은 CWE-287(Improper Authentication)과 CWE-1287(Improper Validation of Specified Type of Input)이 부여되었다.

이 취약점의 구체적인 발생 조건은 두 가지다. 첫째, Laravel 기본 제공 TokenGuard를 표준 토큰 기반 API 가드로 구성한 환경이어야 한다. 둘째, 특정 데이터베이스(MySQL 또는 MariaDB) 설정을 사용하는 환경이어야 한다. 이 조건이 충족될 경우 공격자는 대상 사용자의 API 토큰을 보유하지 않고도 해당 사용자로 인증을 우회할 수 있다.

KISA 공지와 GitHub 권고가 명시한 영향 버전과 해결 버전은 다음과 같다.

• Laravel Framework 12 계열: 12.68.0 미만 버전이 영향을 받으며 첫 패치 버전인 12.68.0 이상으로 업그레이드해야 한다.
• Laravel Framework 13 계열: 13.0.0 이상 13.29.0 미만 버전이 영향을 받으며 첫 패치 버전인 13.29.0 이상으로 업그레이드해야 한다.

제품 공식 권고에서 확인된 해결 방안은 패치된 버전으로의 업데이트다. 공식 권고 문서에는 코드 수정이나 환경 설정 우회로 패치를 대신하라는 지침이 존재하지 않으므로 Composer 의존성 명령을 통해 프레임워크를 최신 안정 버전으로 올려야 한다.

Oracle Java 및 GraalVM 중간 CA 인증서 신뢰 취약점 권고

KISA는 Oracle이 자사 제품에서 발생하는 취약점을 해결한 보안 업데이트를 발표했다고 권고했다. 공지 항목은 eMudhra 중간 CA 인증서 신뢰 취약점이며 식별자는 CVE-2026-91403이다.

Oracle의 공식 보안 알림 문서는 Oracle Security Alert Advisory - CVE-2026-91403이며 2026년 10월 21일 Rev 1 Initial Release로 공개되었다. Oracle 위험 매트릭스에 따르면 CVSS 3.1 Base Score는 9.1로 평가되었다. 네트워크를 통한 원격 공격이 가능하며 공격자가 사전 인증을 거칠 필요가 없는(Remote Exploit without Auth: Yes) 치명적 수준이다.

영향을 받는 내부 구성요소는 JSSE(Java Secure Socket Extension)이며 다중 프로토콜 환경에 걸쳐 적용된다. 보안 영향도 평가는 기밀성 High, 무결성 High, 가용성 None으로 산출되었다. NVD의 CVE-2026-91403 게시 시각은 2026-10-21T22:16:50.243이며 상태는 Awaiting Analysis다. CISA 코디네이터가 등록한 취약점 유형은 CWE-284이며 2026-10-23T03:55:22.386911Z 기준 SSVC exploitation 값은 none이다.

공식 알림이 지정한 영향 제품과 버전은 다음과 같다.

• Oracle Java SE: versions 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1
• Oracle GraalVM for JDK: versions 17.0.21, 21.0.13
• Oracle GraalVM Enterprise Edition: version 21.3.20

KISA 공지 표의 해결 칸은 개별 빌드 번호가 아닌 Oracle 보안 패치 적용으로 기재되어 있다. Oracle 공식 알림은 영향받은 eMudhra 관련 중간 CA 인증서 묶음을 신뢰하지 않도록 조치한 Java 업데이트를 제공한다고 명시했다. 관리자는 최신 Java 버전으로 업데이트하거나 공식 권고된 완화 조치를 적용해야 한다. Oracle은 지원 기간(Premier Support 또는 Extended Support)이 지난 이전 버전 역시 영향을 받을 가능성이 높으므로 공식 지원 중인 최신 버전으로 전환할 것을 권고했다.

PHP 제품 보안 업데이트와 PHP2Shell 기업 보안 대응 수칙

KISA는 2026년 10월 21일 PHP 제품 보안 업데이트 권고를 낸 데 이어 2026년 10월 22일 PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙을 발표했다. 이번 수칙은 PHP 환경에서 발생하는 2건의 핵심 취약점을 해결하기 위해 긴급 배포되었다.

첫째 취약점은 CVE-2026-109618(Improper Handling of Exceptional Conditions)이다. php.net 및 GitHub Advisory(GHSA-w8hw-w9fx-j79w) 명칭은 메모리 부족 손상에 의한 원격 코드 실행(RCE via OOM corruption)이며 심각도는 critical, CVSS v4 점수는 9.2다. 웹 워커 계정 권한으로 인증 없는 원격 코드 실행이 성립한다.

둘째 취약점은 CVE-2026-109619(Use After Free)이다. 공식 명칭은 전역 상태 미초기화에 의한 원격 코드 실행(RCE via stale global state, GHSA-6wmf-4rv5-p3rp)이며 심각도는 critical, CVSS v4 점수는 9.2다. 인증 없는 힙 use-after-free, 프로세스 메모리 노출, 웹 워커 권한의 원격 코드 실행이 확인되었다.

공식 릴리스에 따른 영향 버전과 해결 버전은 다음과 같다.

• PHP 8.2: 8.2.35 미만이 영향을 받으며 8.2.35 이상으로 해결된다. PHP 8.2는 2026년 12월 31일 공식 보안 지원이 종료될 예정이므로 8.3 이상 버전으로의 전환이 권장된다.
• PHP 8.3: 8.3.36 미만이 영향을 받으며 8.3.36 이상으로 해결된다.
• PHP 8.4: 8.4.27 미만이 영향을 받으며 8.4.27 이상으로 해결된다.
• PHP 8.5: 8.5.12 미만이 영향을 받으며 8.5.12 이상으로 해결된다.
• PHP 8.1 이하: 공식 보안 지원이 종료되어 PHP 프로젝트 공식 업데이트가 제공되지 않으므로 공식 지원 버전으로 즉시 전환해야 한다.

php.net 공식 문서는 웹 요청을 처리하는 모든 PHP 설치가 대상에 포함된다고 설명했다. 여기에는 PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed가 모두 해당하며 특히 mod_php 환경에서 위험도가 가장 높다고 밝혔다. php.net은 오직 최신 패치 버전으로의 업데이트만이 완전한 해결책이며 임시 조치는 완전한 해결이 될 수 없다고 못 박았다.

네덜란드 국립사이버보안센터(NCSC-NL)가 공개한 운영 정보(2026년 10월 21일 17:25 CEST 등록, 2026년 10월 23일 14:46 CEST 소프트웨어 목록 갱신)에 따르면 영향 범위는 일반 웹 서버에 그치지 않는다. 어플라이언스, 네트워크 장치, 관리 인터페이스 등 PHP 런타임이 내장된 벤더 제품 전반으로 확산되고 있다.

공식 문서가 제시한 긴급 점검 및 단계별 대응 절차

KISA 기업 보안 대응 수칙과 공식 기술 문서는 공격 피해를 방지하기 위해 다음 8단계 절차를 이행할 것을 강력히 권고했다.

첫째, 실제 서비스 중인 서버의 PHP 설치 여부와 버전을 전수 점검한다. 단순한 자산 관리 목록에 의존하지 말고 인터넷에 공개된 홈페이지와 시스템, 외주 관리 사이트, 방치된 웹 페이지, 이벤트 및 테스트 서버, 관리자 화면을 직접 확인해야 한다. 아울러 PHP가 내장된 보안 솔루션, 네트워크 장비, 컨테이너 이미지도 점검 대상이다. 외부 호스팅 업체나 장비 제조사가 런타임을 관리하는 경우 해당 업체에 최신 보안 패치 적용 여부를 즉시 확인하고 조치를 요청해야 한다.

둘째, 공식 보안 버전으로 업데이트를 실행한다. 인터넷에 공개된 서버를 최우선으로 하여 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상 또는 리눅스 배포판 및 제조사가 제공하는 보안 패치를 적용한다. 업데이트가 완료되면 PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed 등 구동 중인 웹 서버 프로세스를 완전히 재시작한다. 컨테이너 기반 환경은 패치된 새 이미지로 다시 배포해야 한다. 재시작 후에는 웹 서비스가 실제로 사용하는 런타임 버전이 갱신되었는지 웹 응답을 통해 확인해야 한다. 터미널의 CLI 버전과 웹 서버 구동 버전이 다를 수 있기 때문이다. 리눅스 배포판 패키지는 버전 번호가 그대로 유지될 수 있으므로 패키지 변경 이력에서 CVE 반영 여부를 확인한다.

셋째, 지원 종료 버전을 신속히 교체한다. PHP 8.1 이하는 공식 업데이트가 없으므로 지원 버전으로 전환해야 한다. PHP 8.2 역시 2026년 12월 31일 지원 종료가 예정되어 있으므로 8.3 이상 버전으로 전환 계획을 수립해야 한다. 버전 전환에 시간이 소요되는 경우 배포판 업체의 LTS 백포트 패키지나 PHP 보안팀이 공개한 PHP 7.4, 8.0, 8.1 최소 소스 백포트를 임시 적용하고, 이마저도 불가능한 환경은 외부 접속 차단이나 서비스 일시 중단을 검토한다.

넷째, 패치 적용 전까지 공식 권고된 임시 완화 설정을 적용한다. php.ini, PHP-FPM pool 설정 파일에 다음 지침을 반영하고 모든 워커 프로세스를 재시작한다.

아래 설정 블록은 KISA 대응 수칙과 php.net 권고에 명시된 임시 완화 지침이다.

; 세션 업로드 진행률 기능 비활성화 (확인된 세션 공격 경로 차단)
session.upload_progress.enabled = 0

; 애플리케이션에 의해 번복되지 않는 메모리 한도 해제
memory_limit = -1

; 파일 업로드가 필요 없는 경우 요청 크기 제한 (필요 시 32M)
post_max_size = 8M
upload_max_filesize = 4M

; PHP 8.5 환경에 한해 치명적 오류 역추적 비활성화
fatal_error_backtraces = 0

KISA와 공식 문서는 이러한 설정이 확인된 공격 경로를 줄여줄 뿐 취약점을 근본적으로 해결하지 못하므로 버전 업데이트를 대체할 수 없다고 강조했다. 아울러 php.net의 2026년 10월 23일 안내(Informational advisory: Session upload progress)에 따르면 다음 정기 버그픽스 릴리스가 나올 때까지 session.upload_progress.enabled=0 설정을 유지해야 한다.

다섯째, 취약점 정보 유출일인 2026년 10월 20일 이후의 서버 기록 전체를 면밀히 점검한다. 비정상적으로 큰 HTTP 요청 및 그에 따른 500 오류 응답, 원인을 알 수 없는 PHP 프로세스 비정상 종료 및 재시작 기록, 웹 서버가 임의 명령어 실행 도구나 파일 다운로드 프로그램을 구동한 흔적, 웹 루트 및 업로드 폴더와 임시 디렉터리에 생성된 신규 PHP 파일, 결제 및 메인 페이지에 무단 삽입된 외부 스크립트, 미인가 외부 IP로의 네트워크 연결을 전수 조사한다. 로그에 이상 흔적이 없더라도 시스템 안전이 보장되는 것은 아니다.

여섯째, 주요 자격 증명을 전면 교체한다. 인터넷에 노출된 서버는 패치 완료 전까지 데이터베이스 접속 비밀번호, 외부 연동 API 키, 관리자 계정 암호를 변경할 것을 권고한다. 침해 흔적이 발견된 시스템은 자격 증명 교체와 권한 회수를 즉시 집행해야 한다.

일곱째, 침해 사고 발생 시 증거 보존 요령을 준수한다. 서버를 강제로 종료하거나 재시작하지 말고 외부 네트워크 접속만 신속히 차단한다. 시스템 재시작 전에 접근 로그, 실행 중인 프로세스 목록, 네트워크 연결 상태를 파일로 보존한 후 KISA 보호나라에 침해사고 신고를 접수한다. 이후 최신 패치 적용, 웹셸 제거, 계정 정보 교체 작업을 순차 진행한다.

여덟째, 신뢰할 수 없는 모의 침투 도구나 검증되지 않은 PoC 코드를 실서버에서 실행하지 않는다. 취약 여부 판단은 버전 정보 확인과 시스템 기록 점검으로 진행해야 하며 부득이한 분석은 업무망과 철저히 격리된 독립 환경에서만 수행해야 한다.

출처와 링크

조사 기준 연월: 2026년 10월

• KISA 보호나라 보안공지 목록
• KISA 보호나라 Node.js 제품 보안 업데이트 권고 (nttId=72236)
• KISA 보호나라 Laravel 제품 보안 업데이트 권고 (nttId=72235)
• KISA 보호나라 Oracle 제품 보안 업데이트 권고 (nttId=72234)
• KISA 보호나라 PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙 (nttId=72230)
• KISA 보호나라 PHP 제품 보안 업데이트 권고 (nttId=72227)
• Node.js October 2026 Security Releases 공식 발표
• GitHub Advisory Database - Laravel TokenGuard Auth Bypass (GHSA-f9x3-7vq9-cph6)
• Oracle Security Alert Advisory - CVE-2026-91403
• PHP 공식 릴리스 아카이브 (2026-10-21)
• NCSC-NL php2shell 공식 대응 정보 저장소