- 2026년에 PHP에서 또 다른 치명적인 보안 취약점이 발생할까요?26¢26%
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
규칙
시장 생성 시점부터 2026년 12월 31일 오후 11:59 ET까지 PHP의 중대한 취약점이 처음으로 공개되고, 해당 기한까지 아래의 모든 요건을 충족하면 이 시장은 "예"로 판정됩니다. 그렇지 않으면 이 시장은 "아니오"로 판정됩니다. 공개란 공식 권고문, 연구자 발표, 유출 또는 공개 코드 커밋 등을 통해 특정 취약점을 식별하기에 충분한 정보가 일반에 공개되는 것을 의미합니다. 특정되지 않은 취약점에 대한 일반적인 경고만으로는 요건을 충족하지 않습니다. 시장 생성 전에 공개된 취약점은 시장 기간 중 CVE 식별자나 요건을 충족하는 점수를 받았다는 이유만으로는 요건을 충족하지 않습니다. 요건을 충족하는 취약점은 PHP 자체(PHP 인터프리터 및 공식 php-src 소스 코드에 포함된 확장 기능)에 영향을 미쳐야 하고, 공개적으로 이용 가능한 CVE 식별자가 부여되어야 하며, PHP 프로젝트 또는 미국 국가 취약점 데이터베이스(NVD)로부터 공개된 CVSS 기본 점수 9.0 이상을 받아야 합니다(CVSS 버전은 무관). 지원이 중단된 PHP 버전이나 선택적으로 포함된 확장 기능에만 영향을 미치는 취약점도 그 밖의 요건을 충족하면 요건을 충족합니다. php-src와 별도로 배포되는 확장 기능(예: PECL을 통해 배포되는 확장 기능)은 요건을 충족하지 않습니다. 두 출처 중 어느 한 곳에서 요건을 충족하는 점수를 받으면 충분하며, 다른 출처나 다른 CVSS 버전에서 더 낮은 점수를 받았는지는 관계없습니다. NVD 자체가 게시한 점수(NIST에 귀속된 점수) 또는 PHP 프로젝트가 게시한 점수만 인정됩니다. NVD에 표시되더라도 다른 기관에 귀속된 점수는 요건을 충족하지 않습니다. 시장 기간 중 모든 요건을 충족한 뒤에는 이후의 점수 수정이 판정에 영향을 주지 않습니다. CVE-2026-109618 및 CVE-2026-109619("PHP2Shell")은 요건을 충족하지 않습니다. PHP로 작성되었거나 PHP에서 실행되는 타사 소프트웨어(예: WordPress, Laravel, Drupal, 플러그인 또는 기타 프레임워크와 라이브러리)의 취약점은 적격으로 인정되지 않습니다. 이 시장의 주요 판정 출처는 PHP 프로젝트의 공식 정보(php.net 및 php-src의 GitHub 보안 권고 포함)와 NVD (https://nvd.nist.gov)입니다. 다만, 신뢰할 수 있는 보도에 형성된 합의도 사용할 수 있습니다.
기계 번역입니다. 분쟁 시 원문이 우선합니다.