PHP 보안 팀은 PHP2Shell이라는 명칭으로 추적되는 두 가지 치명적인 원격 코드 실행(RCE) 취약점을 해결하기 위해 긴급 보안 업데이트를 발표했습니다. 해당 취약점은 CVE-2026-109618 및 CVE-2026-109619 식별자를 가지며, 인증되지 않은 공격자가 영향을 받는 서버를 제어할 수 있도록 허용합니다.
취약점 세부 정보 및 영향
이 취약점들은 Calif, OpenAI, Wiz의 연구원들이 공동으로 발견했습니다. 이 취약점들의 위험성은 PHP-FPM, mod_php를 사용하는 Apache, php-cgi, FrankenPHP, LiteSpeed를 포함하여 웹 요청을 처리하는 모든 PHP 실행 환경에 영향을 미친다는 점에 있습니다.
PHP 보안 팀은 가장 큰 위험이 mod_php 설정에 있다고 설명했습니다. 이 경우 인증되지 않은 공격자가 애플리케이션의 특정 코드가 실행되기 전에 공격을 수행할 수 있기 때문입니다. 두 취약점은 요청이 비정상적으로 종료될 때 메모리가 손상된 상태로 남는 근본적인 문제에서 비롯되며, 이는 원격 코드 실행으로 이어질 수 있는 경로를 제공합니다.
관리자가 취해야 할 조치
시스템 관리자는 즉시 서버를 다음 보안 버전으로 업데이트해야 합니다: 8.5.12, 8.4.27, 8.3.36 또는 8.2.35. 더 이상 공식 업데이트를 받지 않는 이전 버전(7.4, 8.0, 8.1)의 경우, PHP 팀은 해당 버전을 계속 사용하는 시스템을 보호하기 위해 백포트(backports) 패치 파일을 제공했습니다.
이 뉴스가 중요한 이유
PHP는 WordPress 및 Drupal과 같은 유명 플랫폼을 포함하여 전 세계 웹사이트의 약 75%~80%를 지탱하는 중추적인 언어입니다. 인터넷에 노출된 500만 개 이상의 PHP 서버를 고려할 때, 이러한 취약점의 악용은 광범위한 위협을 초래합니다. Cloudflare는 이미 이러한 취약점에 대한 초기 악용 시도를 탐지했다고 확인했으며, 이에 따라 영국 국가사이버보안센터(NCSC)는 조직에 즉각적인 업데이트 또는 네트워크에서 시스템 분리를 권고하는 긴급 경고를 발표했습니다.
임시 완화 조치
즉각적인 업데이트가 불가능한 경우, PHP 보안 팀은 악용 가능성을 줄이기 위해 다음과 같은 완화 조치를 제시했습니다:
- CVE-2026-109618 취약점: memory_limit을 -1로 설정하고, post_max_size를 8MB(파일 업로드가 필요한 경우 32MB)로 줄입니다.
- CVE-2026-109619 취약점: session.upload_progress.enabled를 0으로 설정하고, 8.5 버전에서는 fatal_error_backtraces를 0으로 설정한 후 워커(workers)를 재시작합니다.
개발자들은 이러한 조치가 완전한 보호를 제공하지 않으며, 공식 업데이트만이 서버 보안을 영구적으로 보장하는 유일한 방법임을 강조합니다.