PHP에서 인증 없이 원격 코드 실행(RCE)이 가능한 치명적인 보안 취약점 2종(CVE-2026-109618, CVE-2026-109619)이 발견되었습니다.
해당 취약점이 악용될 경우 공격자가 서버에서 임의의 코드를 실행하거나 민감한 정보에 접근할 수 있어 신속한 점검과 보안 업데이트가 필요합니다.
점검 안내: 취약점 공격용 페이로드 없이 입력한 URL에 HTTP 요청을 보내며, 응답 헤더에 노출된 PHP 버전 정보만 확인합니다. 입력한 URL과 확인 결과는 저장하지 않습니다.
VULNERABILITY BRIEF
2026년 10월 21일 공개된 PHP2Shell은 PHP 실행 엔진(Runtime)의 메모리 관리 과정에서 발생하는 보안 취약점입니다.
두 취약점 모두 인증되지 않은 원격 공격자가 악용할 경우 임의의 코드를 실행할 수 있어, CVSS v4.0 기준 9.2점(Critical)으로 평가되었습니다.
PHP에서 메모리 부족(OOM) 상황으로 요청 처리가 중단될 때 내부 데이터가 정상적으로 초기화되지 않아 발생하는 취약점입니다.
공격자가 조작된 HTTP 요청으로 메모리 부족 상황을 유도하면, PHP의 오류 처리 과정에서 비정상적인 메모리 참조 및 해제가 발생할 수 있습니다. 이를 악용할 경우 메모리가 손상되고 원격 코드 실행(RCE)으로 이어질 수 있습니다.
PHP에서 이전 HTTP 요청에 사용된 메모리를 해제한 이후에도 해당 메모리를 참조하는 내부 상태가 남아 발생하는 취약점입니다.
공격자가 조작된 HTTP 요청으로 오류를 유발하면, 같은 PHP 프로세스가 이후 요청을 처리하는 과정에서 이미 해제된 메모리를 다시 참조할 수 있습니다. 이러한 메모리 재사용 오류를 악용하면 프로그램 실행 흐름이 변조되어 원격 코드 실행(RCE)으로 이어질 수 있습니다.
AFFECTED VERSIONS & RESPONSE
이번 취약점은 PHP 애플리케이션의 소스코드가 아닌 PHP 실행 엔진에서 발생합니다.
따라서 서버에 설치된 PHP 버전과 보안 패치 적용 여부를 확인하고, 영향을 받는 버전을 사용 중이라면 신속한 업데이트가 필요합니다.
| PHP 버전 | 영향을 받는 버전 | 패치 버전 |
|---|---|---|
| PHP 8.5 | 8.5.12 미만 | 8.5.12 이상 |
| PHP 8.4 | 8.4.27 미만 | 8.4.27 이상 |
| PHP 8.3 | 8.3.36 미만 | 8.3.36 이상 |
| PHP 8.2 | 8.2.35 미만 | 8.2.35 이상 |
| PHP 8.1 이하 | 공식 지원 종료 | 패치 버전으로 업그레이드 권고 |
Linux 배포판 또는 별도 LTS 공급업체에서 보안 패치를 백포트한 경우, PHP 버전이 낮더라도 취약점이 수정되었을 수 있습니다. 공급업체의 보안 공지를 함께 확인해야 합니다.
PHP 8.2 이상을 사용하는 경우 각 버전에 해당하는 패치 버전으로 업데이트하세요.
기존 애플리케이션 및 라이브러리와의 호환성을 사전에 확인한 후 지원 중인 PHP 버전으로 업그레이드하세요.
외부 접근 제한, 영향받는 서비스의 일시 중단 등 긴급 보안 조치를 검토하세요. 방화벽 및 WAF를 통한 접근 제한은 임시 대응이므로, 취약점을 근본적으로 해결하려면 PHP 런타임에 보안 패치가 필요합니다.
SPARROW APPLICATION SECURITY
PHP2Shell 취약점과 같은 보안 위협은 지속적으로 발생하고 있습니다. 스패로우와 함께 개발 초기부터 보안 위험을 사전에 식별하고 상시 점검해 보안 취약점에 선제적으로 대비하세요
문의하기