SCJ SECUJUN

SECURITY NEWS

새로운 위협·취약점

PHP2Shell 두 취약점 실제 악용 목록 등재, 추가 조건부 RCE도 공개

CISA는 CVE-2026-109618·109619를 실제 악용 취약점 목록에 추가했다. PHP는 별도의 CVE-2026-115560을 다음 정기 릴리스에서 수정할 예정이라고 밝혔다.

영국긴급 취약점 경보 · 인증 없는 원격 코드 실행

두 CVE 실제 악용 확인 · 추가 조건부 RCE는 수정 예정

PHP Security Team · UK NCSC · Wiz Research · 원문 영어 · 정리 2026-10-27

PHP Core RCE · KEV 등재 · 추가 RCE — 두 CVE 실제 악용; 조건부 추가 RCE; 패치·설정 점검
GPT 생성 설명 이미지 · 출처 [1] · [5] · 실제 현장 사진이나 제품 화면이 아닙니다.

원문 기반 한국어 요약

PHP 보안팀은 10월 21일 CVE-2026-109618과 CVE-2026-109619를 수정한 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 공개했다. 두 취약점은 각각 CVSS v4.0 9.2이며 조건이 충족되면 인증 없는 원격 코드 실행으로 이어질 수 있다. PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 PHP 설치가 조사 대상이다. [1]

CVE-2026-109618은 메모리 부족 처리 중 내부 요청 데이터가 부분 초기화된 상태로 중단된 뒤 정리 과정에서 잘못된 데이터를 유효한 것으로 다룰 수 있는 문제다. CVE-2026-109619는 요청 상태가 해제된 메모리를 가리킨 채 남아 이후 같은 워커의 요청에서 사용될 수 있는 문제다. [1][2]

PHP 보안팀은 mod_php에서 애플리케이션 코드가 실행되기 전 인증 없는 요청으로 공격을 촉발하는 시연이 있어 위험을 가장 높게 평가했다. PHP 8.1 이하는 프로젝트 지원이 종료돼 배포판·LTS 공급자의 백포트 여부를 확인하거나 지원 버전으로 올려야 한다. [1]

PHP 공식 공지는 완전한 임시 완화책이 없으며 업데이트만이 완전한 해결책이라고 밝혔다. 즉시 업데이트가 어렵다면 메모리·업로드·세션 설정 등 특정 경로를 줄이는 조치를 제시하지만 설치를 안전하게 만드는 것은 아니라고 구분했다. 영국 NCSC는 완화도 적용할 수 없다면 시스템을 오프라인으로 전환하는 방안을 검토하라고 권고했다. [1][2]

Wiz Research는 Wiz Atlas, Gemini 4 Argon, GPT-5.6 Sol을 사용해 취약점을 발견했고 8월 20일 Drupal, 8월 21일 WordPress 환경에서 인증 없는 RCE를 검증한 뒤 PHP 보안팀에 보고했다고 밝혔다. 이는 연구 환경에서의 재현 결과다. [3]

Amazon Threat Intelligence는 10월 17일 MadPot 허니팟에서 PHP2Shell 공격 시도를 확인했다고 밝혔다. 10월 21일 02:00~08:00 UTC에도 서로 다른 익명화 인프라에서 추가 시도를 관측했고, 패치와 기술 정보 공개 뒤에는 개념증명 코드가 수시간 안에 사용되며 광범위한 공격 시도가 이어졌다고 설명했다. [4]

AWS는 관측된 시도가 실제 운영 시스템에서 성공했는지는 불명확하다고 밝혔다. 공개된 IP에는 공유 익명화 인프라가 포함돼 있어 단순 차단 근거가 아니라 조사 단서로 사용하라고 안내했다. 점검 기준일은 공개일이 아니라 최소 10월 17일부터이며, 웹 서버 로그의 의심 요청과 예기치 않은 프로세스 실행·파일 변경을 확인하도록 권고했다. [4]

CISA는 10월 26일 CVE-2026-109618과 CVE-2026-109619를 Known Exploited Vulnerabilities 목록에 추가했다. 이는 두 취약점의 실제 악용 근거가 확인됐다는 의미이며, 미국 연방 민간기관의 BOD 22-01 적용 대상이 된다. 개별 조직의 침해 여부는 별도 로그·호스트 조사로 확인해야 한다. [5]

PHP 보안팀은 10월 23일 세션 업로드 진행 기능과 비정상적인 직렬화 핸들러 전환이 함께 있을 때 발생할 수 있는 별도 RCE 벡터 CVE-2026-115560을 공지했다. 설정에서 php_binary 또는 php_serialize를 사용하다가 session_start() 전에 런타임으로 php로 바꾸고 session.upload_progress.enabled가 켜진 경우에 한정된다. [1]

PHP는 CVE-2026-115560을 다음 정기 버그 수정 릴리스에서 처리할 예정이며, 그때까지 해당 구성을 사용하는 경우 session.upload_progress.enabled=0을 권고했다. 런타임에서 직렬화 핸들러를 바꾸지 않는 애플리케이션은 이 추가 벡터에 노출되지 않는다고 명시했다. 이는 10월 21일 수정된 두 핵심 취약점의 패치 필요성을 대체하지 않는다. [1]

근거: 아래 출처 [1] · [2] · [3] · [4] · [5] · 원문 전체 번역이 아닌 핵심 내용의 번역·요약

자료 확인 범위

CISA의 KEV 등재는 실제 악용 근거를 뜻하지만 모든 노출 시스템의 성공 침해를 뜻하지 않는다. AWS 관측은 허니팟 공격 시도이며 실제 운영 서버의 성공 침해 여부는 확인되지 않았다. CVE-2026-115560은 특정 직렬화 핸들러 전환과 세션 업로드 진행 기능이 함께 있어야 하는 별도 조건부 경로다. 임시 설정과 WAF는 CVE-2026-109618·109619 패치를 대체하지 않는다.

출처 및 레퍼런스

  1. PHP Security TeamSecurity advisory: Critical remote code execution vulnerabilities, update now발표·갱신: 2026-10-21 · 2026-10-23 추가 공지 · 확인: 2026-10-27

    공식 공지에서 두 핵심 CVE와 수정 버전, CVE-2026-115560의 제한된 발생 조건, 임시 설정과 다음 정기 릴리스 계획을 확인했다.

  2. UK National Cyber Security CentreCritical security issue affecting PHP발표·갱신: 2026-10-21 · 확인: 2026-10-27

    영국 공식 경보에서 영향 범위, 우선 조치, 번들 제품 확인과 업데이트·격리 권고를 확인했다.

  3. Wiz ResearchPHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet발표·갱신: 2026-10-21 · 확인: 2026-10-27

    직접 연구 원문에서 AI 도구 사용, 발견·보고 일정과 Drupal·WordPress 재현 범위를 확인했다.

  4. Amazon Threat IntelligenceAmazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot발표·갱신: 2026-10-21 · 확인: 2026-10-27

    MadPot에서 10월 17일부터 관측한 공격 시도, 공개 당일 추가 시도, 실제 시스템 성공 여부의 한계와 조사 권고를 확인했다.

  5. U.S. Cybersecurity and Infrastructure Security AgencyCISA Adds Two Known Exploited Vulnerabilities to Catalog발표·갱신: 2026-10-26 · 확인: 2026-10-27

    CISA 공식 경보에서 CVE-2026-109618과 CVE-2026-109619의 KEV 등재와 BOD 22-01 적용을 확인했다.

이 게시물 작성에 직접 사용한 출처 전체입니다.

영국 보안뉴스 목록