PHP2Shell: PHP의 두 심각한 취약점과 대응

무엇이 공개되었고 왜 대응해야 하나요

2026년10월22일 기준입니다. PHP는21일 PHP2Shell로 알려진 CVE-2026-109618과 CVE-2026-109619의 보안 업데이트를 공개했습니다. CMS 플러그인만이 아니라 웹 요청을 처리하는 PHP 엔진의 문제입니다. 취약한 서버에서 인증 없는 코드 실행이 가능할 수 있습니다. 신속히 대응해야 하지만 개별 사이트가 이미 침해되었다는 증거는 아닙니다.

공식 대상에는 PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed가 포함됩니다. PHP는mod_php의 위험을 가장 높게 평가하고 앱 코드 실행 전의 입증된 공격을 설명합니다. 작은 사이트, 로그인 없음, 최신 플러그인만으로 안심할 수 없습니다. 실제 요청 처리 PHP와 수정을 확인하세요. 노출은 버전, 공급자, 설정에 달렸으며 이 글은 특정 서버 상태를 진단하지 않습니다.

두 결함과 수정 버전

CVE-2026-109618은 메모리 부족 처리 중 메모리 손상과 관련됩니다. CVE-2026-109619는 관련 메모리가 해제된 뒤 남은 내부 상태가 같은 워커의 후속 요청에서 재사용될 수 있는 문제입니다. PHP Foundation이 원인과 수정 과정을 설명합니다. 이를 구분하면 만능 설정 하나로 문제를 축소하지 않게 됩니다. 업데이트 판단에 공격 재현은 필요 없으며 공개 서비스 공격 시험이나 의도적 장애 명령을 제공하지 않습니다.

21일 수정 릴리스는8.5.12,8.4.27,8.3.36,8.2.35입니다. 후속 수정이 나올 수 있으므로 작업 전 최신 공지를 확인하세요. 배포판은 다른 기본 버전에 패치를 백포트할 수 있으며 Ubuntu는USN-8948-1에 패키지를 적습니다. 버전 문자열만 보지 말고 공급자 공지와 패키지를 대조하세요. PHP 8.1 이전은 프로젝트 지원이 끝났으며 배포자 수정이 상위 프로젝트 지원을 되살리지는 않습니다.

CVE-2026-109618 / CVE-2026-109619
PHP 8.2.35 | 8.3.36 | 8.4.27 | 8.5.12

호스팅에 요청하고 관리자가 확인할 것

관리형 호스팅에는 두CVE, 설치 패키지, 대상 서비스, 활성 프로세스의 수정 사용을 확인받으세요. 터미널뿐 아니라 도메인, 풀, 컨테이너, PHP 내장 제품을 포함합니다. 명령줄 버전이 웹 실행 버전과 같다는 보장은 없습니다. 직접 관리하면 문서화된 배포 경로를 사용하고 복구 접속과 적절한 백업을 확보하세요. 검증되지 않은 메시지나 저장소의 패치를 받지 마세요.

설치 후 공급자 지침대로 프로세스를 갱신하고 실행 버전 또는 패키지를 검증합니다. 핵심 기능을 시험하고 시간을 기록하세요. CMS 업데이트나 캐시 삭제만으로 대체할 수 없습니다. 침해 징후가 있으면 증거를 보존하고 사고 대응을 시작하세요. 패치는 공격자의 기존 변경을 되돌리지 않습니다. 이는 운영 완료 확인이지 원격 진단이 아니며 홈페이지 복구 후에도 기술 확인과 기능 검증이 필요합니다.

즉시 업데이트할 수 없을 때와 WikiURL의 한계

PHP는 업데이트만 완전한 해결이라고 강조합니다. 임시 완화는 특정 경로를 줄일 뿐 안전을 보장하지 않습니다. 영향을 이해하지 못한 채 메모리나 세션 설정을 복사하지 마세요. ENISA는 노출 시스템 우선 처리와 즉시 수정이 어렵다면 공개망 격리 검토를 권합니다. 관리자와 안전한 관리 접속 및 중단 공지를 조율하세요. WAF 규칙이나 정상처럼 보이는 앱은 패치를 대체하거나 전체 보호를 보장하지 않습니다.

WikiURL은 유지 보수 뒤 공개 주소의 HTTP 응답과 최종 목적지를 확인하지만 실제PHP나CVE 수정을 인증하지 않습니다.200과HTTPS 잠금은 취약점 평가가 아닙니다. 비밀을 보내거나 증거로phpinfo를 공개하지 마세요. 공급자 확인, 프로세스 검증, 서비스 시험을 구분해 보관합니다. 신속한 갱신과 결과 검증이 필요하며 근거 없는 침해 주장이나 열리기만 하는 페이지의 안도는 피해야 합니다. 이 글은 특정 설치의 수정 완료 인증이 아닙니다.