PAN-OS 메모리 손상 취약점과 버전별 업데이트 안내

무슨 일이 생겼나요

KISA 보호나라는 2026-10-29 Palo Alto Networks의 PAN-OS 메모리 손상 취약점에 대한 업데이트를 권고했어요. 메모리는 요청을 처리하는 동안 쓰는 작업 공간이에요. 작업을 마친 서랍의 이름표를 그대로 두거나, 정리하지 않은 서랍을 새 작업에 사용하면 엉뚱한 내용을 꺼낼 수 있듯이, 이번 문제는 메모리를 준비하고 정리하는 과정이 어긋나면서 발생해요.

대상은 PAN-OS 12.2, PAN-OS 12.1, PAN-OS 11.2, PAN-OS 11.1, PAN-OS 10.2예요. 취약점 식별번호는 CVE-2026-109618과 CVE-2026-109619이며, 특정 조건에서 공격자가 원격으로 코드를 실행하는 결과로 이어질 수 있어요. 원격 코드 실행은 공격자가 네트워크 너머에서 대상 시스템에 자신이 의도한 동작을 수행하게 만드는 것을 뜻해요.

이 취약점들은 실제 공격에 쓰이고 있음(CISA KEV 등재)이 확인된 상태예요. CISA KEV는 실제 악용이 확인된 취약점을 모은 목록이며, 모두 2026-10-26 등재됐어요. 목록에 적힌 조치기한은 2026-10-29예요. 랜섬웨어 사용 여부는 Unknown으로 표시돼 있어, 랜섬웨어에 사용됐다고 확정하거나 사용되지 않았다고 판단할 수는 없어요.

기술적으로는 (초급 개발자용)

CVE-2026-109618은 PHP의 요청 처리 중 메모리 부족 오류를 다루는 과정과 관련돼요. 메모리가 부족하면 진행 중인 처리를 중단하는데, 일부 실행 흐름에서는 메모리를 사용할 준비가 끝나지 않은 상태가 남을 수 있어요. 이후 요청을 정리하면서 그 내용을 읽거나 다음 동작을 결정하면 메모리 손상과 원격 코드 실행으로 이어질 수 있어요. 단순히 메모리 사용량이 높다는 사실만으로 공격이 발생했다고 판단할 수는 없고, 이러한 오류 처리 흐름을 유발하는 조건이 관련돼요.

CVE-2026-109619는 요청 사이에 유지되는 공용 상태가 이미 해제한 메모리를 계속 가리킬 수 있는 문제예요. 공용 상태는 여러 요청의 처리 과정에서 참조하는 정보이고, 메모리 해제는 사용이 끝난 공간을 반납하는 것을 뜻해요. 참조 정보를 제대로 지우지 못하거나 지운 뒤 다시 잘못 채우면, 다음 요청이 더는 유효하지 않은 메모리를 읽거나 그 내용을 바탕으로 동작할 수 있어요. 이 흐름 역시 원격 코드 실행으로 이어질 수 있어요. 구체적인 공격 경로, 인증 필요 여부, 영향을 받는 기능의 활성화 조건은 여기서 확정할 수 없어요.

취약점의 약점 분류인 CWE에는 모두 CWE-1325, CWE-416, CWE-755, CWE-824가 연결돼 있어요. 각각 메모리의 연속 할당을 적절히 제어하지 못하는 문제, 해제한 메모리를 다시 사용하는 문제, 예외 상황을 적절히 처리하지 못하는 문제, 초기화하지 않은 포인터에 접근하는 문제를 가리켜요. 포인터는 메모리의 위치를 가리키는 값이에요. 이러한 분류는 메모리를 확보하고 오류를 처리한 뒤 정리하는 과정에서 어떤 종류의 약점이 생기는지 이해하는 데 도움이 돼요.

NVD 게시일은 모두 2026-10-21이고, 취약점의 기술적 심각도를 평가하는 CVSS는 버전 4.0 기준 9.2, 등급은 CRITICAL이에요. 이 점수는 기술적 위험을 평가한 값이며, 개별 장비가 이미 침해됐다는 뜻은 아니에요. 실제 공격에 쓰인다는 판단은 CISA KEV 등재 사실로 별도로 확인돼요. 점수와 악용 사실을 함께 고려해, 운영 중인 PAN-OS가 영향받는 범위에 들어가는지 우선 확인해야 해요.

누가 영향을 받나요

일반 사용자

이 권고에서 확인해야 할 대상은 PAN-OS를 사용하는 장비예요. 개인이 휴대전화나 컴퓨터를 사용한다는 이유만으로 해당 기기가 이번 취약점의 직접 대상이 되는 것은 아니에요. 회사나 이용 중인 서비스가 해당 장비를 운영한다면, 관련 업데이트는 그 장비의 관리 담당자가 확인해야 해요.

일반 이용자가 담당자에게 확인할 핵심은 PAN-OS 사용 여부, 영향받는 버전 해당 여부, 해결 버전 적용 여부예요. 이번 취약점 때문에 자신의 정보가 유출됐거나 이용 중인 서비스가 침해됐다고 단정할 근거는 없어요. 실제 공격에 쓰이는 취약점이라는 사실과 특정 조직의 피해 발생 여부는 구분해서 이해해야 해요.

개발자

개발자는 애플리케이션 코드의 변경 여부와 별개로, 서비스가 의존하는 PAN-OS 장비의 업데이트 상태를 운영 담당자와 확인해야 해요. 이번 설명에 PHP의 메모리 처리 문제가 등장하지만, 이를 근거로 모든 PHP 서비스가 이 PAN-OS 권고의 대상이라고 확대해서 판단해서는 안 돼요. 이 권고의 적용 여부는 명시된 PAN-OS 제품과 버전 범위로 확인해요.

원인을 이해할 때는 요청 처리가 정상적으로 끝나는 경우뿐 아니라 메모리 부족으로 중단되는 흐름도 살펴보면 좋아요. CVE-2026-109618은 준비되지 않은 메모리가 정리 과정에서 사용되는 흐름, CVE-2026-109619는 해제된 요청 메모리를 공용 상태가 계속 가리키는 흐름이 핵심이에요. 다만 자신의 애플리케이션 코드를 수정하는 것으로 PAN-OS 업데이트를 대신할 수 있다고 판단해서는 안 돼요.

서버·장비 담당자

서버·장비 담당자는 운영 중인 PAN-OS의 전체 버전 문자열을 확인해야 해요. 핫픽스는 특정 문제를 수정한 보완 릴리스이며, 이번 해결 버전에는 -h로 시작하는 표기가 포함돼 있어요. PAN-OS 11.1처럼 계열만 기록하면 영향 여부를 정확히 판단하기 어려워요. 예를 들어 11.1.7 이상 11.1.7-h12 미만은 영향받는 범위이고, 해당 행의 해결 버전에는 11.1.7-h12가 명시돼 있어요.

같은 계열 안에서도 현재 버전 구간마다 해결 버전이 달라요. 표의 '이상'은 경계 버전을 포함하고 '미만'은 경계 버전을 포함하지 않아요. '또는'으로 연결된 해결 버전은 선택 가능한 대안이므로 모두 차례대로 설치하라는 뜻이 아니에요. 실제 설치 경로와 적용 순서는 제조사 공지의 업데이트 절차를 따르세요. KEV의 조치기한을 모든 조직에 똑같이 적용되는 법적 의무로 해석할 근거는 없지만, 실제 악용 사실은 업데이트 우선순위를 정할 때 반영해야 해요.

지금 할 일

1. 운영 중인 PAN-OS 장비의 전체 버전을 확인하고 CVE-2026-109618과 CVE-2026-109619의 영향 범위에 대조하세요. 아래 버전별 대응표는 해당 취약점들에 공통으로 적용돼요. 버전 비교에서는 -h 뒤의 핫픽스 표기까지 확인하고, 문자열의 겉모양만으로 앞뒤를 판단하지 마세요.
2. PAN-OS 12.2는 12.2.0 이상 12.2.4-h1 미만이 영향받아요. 해결 버전은 12.2.4-h1 이상이에요.
3. PAN-OS 12.1은 현재 버전 구간에 따라 확인하세요. 12.1.2 이상 12.1.4-h13 미만의 해결 버전은 12.1.4-h13 또는 12.1.10-h3 이상이에요. 12.1.5 이상 12.1.7-h11 미만의 해결 버전은 12.1.7-h11 또는 12.1.10-h3 이상이에요. 12.1.8 이상 12.1.10-h3 미만의 해결 버전은 12.1.10-h3 이상이에요.
4. PAN-OS 11.2는 현재 버전 구간에 따라 확인하세요. 11.2.0 이상 11.2.4-h23 미만의 해결 버전은 11.2.4-h23 또는 11.2.16-h1 이상이에요. 11.2.5 이상 11.2.7-h23 미만의 해결 버전은 11.2.7-h23 또는 11.2.16-h1 이상이에요. 11.2.8 이상 11.2.10-h16 미만의 해결 버전은 11.2.10-h16 또는 11.2.16-h1 이상이에요. 11.2.11 이상 11.2.13-h4 미만의 해결 버전은 11.2.13-h4 또는 11.2.16-h1 이상이에요. 11.2.14 이상 11.2.16-h1 미만의 해결 버전은 11.2.16-h1 이상이에요.
5. PAN-OS 11.1은 현재 버전 구간에 따라 확인하세요. 11.1.0 이상 11.1.4-h38 미만의 해결 버전은 11.1.4-h38 또는 11.1.16-h4 이상이에요. 11.1.5 이상 11.1.6-h40 미만의 해결 버전은 11.1.6-h40 또는 11.1.16-h4 이상이에요. 11.1.7 이상 11.1.7-h12 미만의 해결 버전은 11.1.7-h12 또는 11.1.16-h4 이상이에요. 11.1.8 이상 11.1.10-h36 미만의 해결 버전은 11.1.10-h36 또는 11.1.16-h4 이상이에요. 11.1.11 이상 11.1.13-h16 미만의 해결 버전은 11.1.13-h16 또는 11.1.16-h4 이상이에요. 11.1.14 이상 11.1.16-h4 미만의 해결 버전은 11.1.16-h4 이상이에요.
6. PAN-OS 10.2는 현재 버전 구간에 따라 확인하세요. 10.2.0 이상 10.2.7-h39 미만의 해결 버전은 10.2.7-h39 또는 10.2.18-h13 이상이에요. 10.2.8 이상 10.2.10-h42 미만의 해결 버전은 10.2.10-h42 또는 10.2.18-h13 이상이에요. 10.2.11 이상 10.2.13-h27 미만의 해결 버전은 10.2.13-h27 또는 10.2.18-h13 이상이에요. 10.2.14 이상 10.2.16-h12 미만의 해결 버전은 10.2.16-h12 또는 10.2.18-h13 이상이에요. 10.2.17 이상 10.2.18-h13 미만의 해결 버전은 10.2.18-h13 이상이에요.
7. 현재 버전 구간에 맞는 해결 버전을 정한 뒤 제조사 공지의 업데이트 절차를 따르세요. 업데이트 대상과 적용 결과에는 전체 버전 문자열을 기록해, CVE-2026-109618과 CVE-2026-109619에 대한 조치 여부를 다음 담당자도 확인할 수 있게 하세요.

show system info

바로 업데이트하기 어렵다면

• 바로 업데이트하기 어렵다면 제조사 공지에서 해당 취약점에 적용할 수 있는 접근 제한 조치를 확인하고, 업무에 필요한 접근만 허용하는 방안을 검토하세요. 구체적인 공격 경로가 확정되지 않았으므로 특정 접근 제한만으로 취약점이 해결된다고 판단하지 마세요.
• 제조사 공지를 확인한 뒤 불필요한 외부 노출을 줄일 수 있는지 검토하세요. 외부 노출 축소는 임시 대응으로 취급하고, 해당 버전 구간의 해결 버전 적용 계획을 함께 유지하세요.

업데이트 후 확인

• 업데이트 후 버전 확인 명령을 다시 실행해 실제 실행 중인 전체 버전 문자열을 확인하세요. 업데이트 전 버전과 비교하고, 선택한 해결 버전이 핫픽스 표기까지 반영됐는지 확인하세요.
• 확인한 버전을 해당 PAN-OS 계열의 영향 범위 및 해결 버전과 다시 대조하세요. 설치 작업이 끝났다는 기록만으로 CVE-2026-109618과 CVE-2026-109619의 조치가 완료됐다고 판단하지 마세요.
• 장비가 담당하던 서비스와 연결이 정상적으로 동작하는지 확인하고, 적용한 버전과 확인 결과를 남기세요. 해결 버전 적용 여부와 과거 침해 여부는 별개의 확인 사항이므로, 업데이트 완료를 이전 공격이 없었다는 증거로 해석하지 마세요.

해외 동향 (NVD·CISA KEV)

실제 공격에 쓰이고 있음(CISA KEV 등재) — 미국 사이버보안·기반시설보안청(CISA)이 실제 악용을 확인한 취약점 목록에 CVE-2026-109618(2026.10.26 등재), CVE-2026-109619(2026.10.26 등재)이 올라 있어요.

제조사 공식 공지

• https://security.paloaltonetworks.com/CVE-2026-109618
• https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
• https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

자주 묻는 질문

Q. CISA KEV에 등재됐으면 우리 장비도 공격받았다는 뜻인가요?

아니에요. CVE-2026-109618과 CVE-2026-109619가 실제 공격에 쓰인다는 뜻이에요. 모두 2026-10-26 등재됐지만, 그 사실만으로 개별 장비의 침해 여부를 알 수는 없어요. 랜섬웨어 사용 여부도 Unknown이므로 사용 여부를 확정해서 말할 수 없어요.

Q. 해결 버전에 '또는'이 있으면 모두 설치해야 하나요?

각각 선택 가능한 해결 버전을 뜻해요. 예를 들어 PAN-OS 12.1에서 12.1.2 이상 12.1.4-h13 미만은 12.1.4-h13 또는 12.1.10-h3 이상이 해결 버전이에요. 다만 해결 버전 표가 실제 설치 순서를 설명하는 것은 아니므로, 제조사 공지의 업데이트 절차를 따르세요.

Q. 목록에서 제 버전을 찾지 못하면 안전하다고 봐도 되나요?

목록에 없다는 이유만으로 안전하다고 단정할 수는 없어요. 이번 권고는 명시된 PAN-OS 계열과 버전 구간에 대한 판단 근거를 제시해요. 사용 중인 전체 버전 문자열을 확인한 뒤, 대응하는 구간이 불분명하면 제조사 공지에서 적용 대상과 업데이트 절차를 확인하세요.