Synology Calendar·Mail Station·PHP 메모리 손상과 업데이트 안내

무슨 일이 생겼나요

KISA 보호나라는 2026-10-29 Synology Calendar, Mail Station과 PHP의 메모리 손상 취약점을 해결하는 업데이트를 권고했어요. 작업이 끝난 서류함에 예전 안내표가 남아 다음 사람이 잘못된 서류를 꺼내는 상황에 비유할 수 있어요. 요청을 처리하면서 쓰던 메모리를 정리하거나 다시 준비하는 과정에 문제가 생겨, 프로그램이 잘못된 메모리 상태를 사용할 수 있어요.

대상은 CVE-2026-109618과 CVE-2026-109619예요. 메모리 손상은 프로그램이 작업에 쓰는 기억 공간을 잘못 다루는 문제예요. 이 취약점들은 원격 코드 실행으로 이어질 수 있어요. 원격 코드 실행이란 공격자가 네트워크를 통해 대상 시스템에서 자신이 의도한 코드를 실행하게 만드는 것을 말해요.

두 취약점은 실제 공격에 쓰이고 있음(CISA KEV 등재)이 확인됐어요. CISA KEV는 실제 악용이 확인된 취약점을 모은 목록이며, 등재일은 모두 2026-10-26이고 조치기한은 2026-10-29예요. 랜섬웨어 사용 항목은 Unknown으로 표시돼 있어요. 이는 랜섬웨어 사용 여부가 확인되지 않았다는 뜻이므로, 랜섬웨어 공격이 확인됐다고 설명해서는 안 돼요.

기술적으로는 (초급 개발자용)

CVE-2026-109618은 메모리 부족 오류를 처리하는 흐름과 관련돼요. PHP가 메모리 부족 때문에 요청 처리를 중단할 때, 일부 처리 흐름에서 요청용 메모리의 초기 상태를 제대로 준비하지 못할 수 있어요. 이후 요청을 정리하는 코드가 그 메모리의 값을 읽거나 그 값에 따라 동작을 결정하면서 문제가 발생할 수 있어요. 공격자가 이런 메모리 부족 상황을 유도하면 원격 코드 실행으로 이어질 수 있어요.

CVE-2026-109619는 여러 요청에 걸쳐 유지되는 전역 상태와 관련돼요. 전역 상태란 프로그램의 여러 처리 과정에서 함께 참조하는 정보를 말해요. 이 정보가 개별 요청의 메모리를 잠시 가리켰다가 제대로 초기화되지 않거나, 초기화 후 다시 잘못 채워질 수 있어요. 그러면 이미 사용을 마치고 반환한 메모리를 계속 가리키게 되고, 뒤이은 요청이 그 오래된 정보를 사용하면서 원격 코드 실행으로 이어질 수 있어요.

두 취약점에 연결된 CWE는 소프트웨어 약점의 종류를 구분하는 분류예요. CWE-1325는 연속적인 메모리 할당을 적절히 제어하지 못하는 문제, CWE-416은 해제한 메모리를 다시 사용하는 문제예요. CWE-755는 예외 상황을 적절히 처리하지 못하는 문제, CWE-824는 초기화되지 않은 포인터에 접근하는 문제예요. 포인터는 메모리 위치를 가리키는 값이에요. 이 분류들은 메모리 확보, 오류 처리, 사용 종료 후 정리가 서로 맞물리는 문제를 이해하는 데 도움이 돼요.

NVD 게시일은 두 취약점 모두 2026-10-21이며, 공통 취약점 평가 체계인 CVSS 버전 4.0 점수는 각각 9.2, 심각도 표기는 CRITICAL이에요. 점수는 취약점의 기술적 심각성을 나타내며, 개별 장비가 이미 침해됐다는 의미는 아니에요. 메모리 부족이나 오래된 전역 상태를 유발하는 조건은 설명돼 있지만, 구체적인 인증 필요 여부나 공격 요청 형식은 확인되지 않았어요. 인터넷에 연결돼 있다는 이유만으로 모든 장비에서 같은 방식으로 공격이 성공한다고 단정할 수는 없어요.

누가 영향을 받나요

일반 사용자

Synology 장비에서 Synology Calendar나 Mail Station을 사용한다면 해당 앱의 설치 버전을 확인할 필요가 있어요. 일정이나 메일 기능을 평소처럼 사용할 수 있다는 사실만으로 취약점이 해결됐다고 판단할 수는 없어요. 이번 문제는 화면에 보이는 기능 오류보다 내부 메모리 처리에 관한 문제이기 때문이에요.

개인 사용자는 자신이 쓰는 앱의 이름과 버전을 확인하고, 회사나 기관의 서비스를 이용한다면 담당자에게 해당 패키지의 업데이트 여부를 확인하면 돼요. 이번 취약점이 있다는 사실만으로 자신의 일정이나 메일이 유출됐다고 볼 수는 없지만, 실제 공격에 쓰이는 취약점인 만큼 업데이트 여부를 확인하는 일이 중요해요.

개발자

Synology의 PHP 패키지로 서비스를 운영하는 개발자는 PHP의 앞부분 버전만 비교하지 않도록 주의해야 해요. 예를 들어 PHP 7.4는 DSM 구분에 따라 해결 기준이 달라요. 같은 PHP 계열이라도 설치된 패키지의 전체 버전과 DSM 구분을 함께 확인해야 이번 권고의 적용 여부를 판단할 수 있어요.

애플리케이션의 입력 검사만으로 이번 메모리 처리 문제가 해결됐다고 판단해서는 안 돼요. 문제가 발생하는 PHP 패키지 자체를 해결 버전으로 바꾸는 조치가 필요해요. 특히 PHP 7.3은 모든 버전이 영향 대상이며, 해결 조치는 해결 버전으로 마이그레이션하는 것이에요. 마이그레이션은 실행 환경을 옮기는 작업이므로, 옮긴 뒤에는 애플리케이션이 정상적으로 동작하는지도 확인해야 해요.

서버·장비 담당자

서버·장비 담당자는 Synology Calendar, Mail Station과 설치된 PHP 패키지를 각각 확인해야 해요. 두 CVE에 적용되는 제품별 영향 범위와 해결 기준은 같아요. 다만 제품마다 버전 표기가 다르고, PHP 7.4와 PHP 8.0은 DSM 구분에 따라서도 기준이 달라져요. 장비 전체를 업데이트했다는 기록만으로 끝내지 말고, 이번 권고에 해당하는 패키지의 설치 결과를 확인해야 해요.

CISA KEV에 실제 공격 사용이 확인된 취약점으로 등재됐으므로, 해당 패키지가 있는 장비의 업데이트 우선순위를 높여 검토해야 해요. 업무상 업데이트 일정을 정할 때는 대상 서비스의 외부 접근 가능 여부와 운영 영향을 함께 살펴보세요. KEV의 조치기한 표기와 별개로, 각 조직에 적용되는 처리기한은 따로 확인해야 해요.

지금 할 일

1. Synology Calendar, Mail Station과 PHP 패키지의 설치 여부 및 전체 버전을 확인하세요. PHP 7.4와 PHP 8.0은 DSM 구분도 함께 확인하고, 제조사 공지의 업데이트 절차를 따르세요.
2. Synology Calendar가 3.0.4-21435 미만이면 3.0.4-21435 이상으로, Mail Station이 30000002.3.19-20333 미만이면 30000002.3.19-20333 이상으로 업데이트하세요.
3. PHP 7.3은 모든 버전이 영향 대상이에요. 같은 계열에서 해결 버전을 찾는 대신, 제조사 공지에 따라 해결 버전으로 마이그레이션하세요.
4. PHP 7.4 (DSM 6.2)는 7.4.33-0010 미만이면 7.4.33-0010 이상으로, PHP 7.4 (DSM 7.0 ~ 7.1)는 7.4.33-0122 미만이면 7.4.33-0122 이상으로 업데이트하세요. PHP 7.4 (DSM 7.2 이상)는 7.4.33-0131 미만이면 7.4.33-0131 이상으로 업데이트하세요.
5. PHP 8.0 (DSM 7.0 ~ 7.1)는 8.0.30-0104 미만이면 8.0.30-0104 이상으로, PHP 8.0 (DSM 7.2 이상)는 8.0.30-0122 미만이면 8.0.30-0122 이상으로 업데이트하세요.
6. PHP 8.1은 8.1.34-0120 미만이면 8.1.34-0120 이상으로, PHP 8.2는 8.2.35-0171 미만이면 8.2.35-0171 이상으로 업데이트하세요.
7. PHP 8.3은 8.3.36-0051 미만이면 8.3.36-0051 이상으로, PHP 8.4는 8.4.27-0051 미만이면 8.4.27-0051 이상으로 업데이트하세요. 변경 후에는 해당 PHP 환경을 사용하는 서비스의 동작을 확인하세요.

바로 업데이트하기 어렵다면

• 업데이트가 어려우면 먼저 제조사 공지에서 임시 대응 안내를 확인하세요. 그 안내와 운영 조건에 맞춰 Synology Calendar, Mail Station 및 해당 PHP를 사용하는 서비스의 접근 대상을 필요한 사용자와 관리 범위로 제한하는 방안을 검토하세요.
• 제조사 공지를 확인한 뒤, 해당 서비스의 불필요한 외부 노출을 줄이는 방안을 검토하세요. 접근 제한이 이번 메모리 처리 결함을 수정하는 것은 아니므로, 해결 버전 적용이나 PHP 7.3 마이그레이션 일정은 별도로 유지하세요.

업데이트 후 확인

• 업데이트 후 Synology Calendar와 Mail Station의 설치 버전을 다시 확인해 각각 3.0.4-21435 이상, 30000002.3.19-20333 이상인지 대조하세요. 업데이트를 시작했다는 기록보다 실제 설치 결과를 기준으로 확인하세요.
• PHP 패키지는 전체 버전을 제품별 해결 기준과 대조하세요. 특히 PHP 7.4와 PHP 8.0은 해당 DSM 구분에 맞는 기준을 적용했는지 확인하세요.
• PHP 7.3을 사용했다면 마이그레이션한 서비스가 실제로 해결 버전의 PHP 환경을 사용하는지 확인하세요. 새로운 환경을 설치한 사실만으로 서비스의 전환이 완료됐다고 판단하지 않도록 해요.
• Synology Calendar의 일정 기능, Mail Station의 메일 기능과 PHP 기반 서비스의 주요 동작을 확인하세요. 정상 동작 여부와 보안 업데이트 적용 여부는 각각 확인해야 해요.

해외 동향 (NVD·CISA KEV)

실제 공격에 쓰이고 있음(CISA KEV 등재) — 미국 사이버보안·기반시설보안청(CISA)이 실제 악용을 확인한 취약점 목록에 CVE-2026-109618(2026.10.26 등재), CVE-2026-109619(2026.10.26 등재)이 올라 있어요.

제조사 공식 공지

• https://www.synology.com/ko-kr/security/advisory/Synology_SA_26_14

자주 묻는 질문

Q. Synology Calendar만 업데이트하면 PHP도 해결된 것으로 봐도 되나요?

그렇게 판단하기는 어려워요. 이번 권고는 Synology Calendar, Mail Station과 PHP 패키지에 각각 해결 기준을 제시하고 있어요. 설치된 대상 제품을 따로 확인하고, 각 제품의 전체 버전을 해당 기준과 대조해야 해요.

Q. PHP 7.3은 어떤 버전으로 업데이트해야 하나요?

PHP 7.3은 모든 버전이 영향 대상으로 표시돼 있고, 해결 조치는 해결 버전으로 마이그레이션하는 것이에요. 구체적인 이동 대상은 제조사 공지에서 확인하고, 제조사 공지의 업데이트 절차를 따르세요. 이동한 뒤에는 기존 서비스가 새 환경에서 정상 동작하는지 확인해야 해요.

Q. 실제 공격에 쓰였다면 제 장비도 침해된 건가요?

CVE-2026-109618과 CVE-2026-109619가 실제 공격에 쓰이고 있다는 사실과 개별 장비의 침해 여부는 구분해야 해요. 두 취약점의 CISA KEV 등재일은 2026-10-26이지만, 등재 사실만으로 자신의 장비가 침해됐다고 결론 내릴 수는 없어요. 랜섬웨어 사용 항목도 Unknown이므로 사용 여부가 확인되지 않은 상태예요. 우선 영향받는 패키지와 버전을 확인하고 해결 조치를 적용하세요.