PHP2Shell 취약점 긴급 점검: CVE-2026-109618·CVE-2026-109619 대응 가이드

SECURITY ALERT · PHP RCE

PHP2Shell 취약점 긴급 점검: CVE-2026-109618·CVE-2026-109619 대응 가이드

PHP 런타임의 메모리 처리 결함으로 발생한 원격 코드 실행 위험과 패치 버전, 서버 운영자가 확인해야 할 보안 조치를 정리합니다.

작성 기준일: 2026년 10월 26일

핵심 요약

PHP 공식 프로젝트가 2026년 10월 21일 두 건의 심각한 보안 취약점에 대한 업데이트를 발표했습니다.
공식 보안 수정 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다.
인터넷에 노출된 PHP 웹 서버를 우선 점검하고, 운영 환경에 맞는 보안 패치를 적용해야 합니다.
WAF 설정이나 웹 애플리케이션 코드 수정만으로는 PHP 런타임 자체의 취약점을 완전히 해결할 수 없습니다.

1. PHP2Shell이란?

PHP2Shell은 PHP 런타임에서 발견된 두 가지 보안 취약점인 CVE-2026-109618과 CVE-2026-109619를 함께 지칭하는 이름입니다. 두 취약점은 요청 처리 중 메모리 상태가 올바르게 초기화되거나 정리되지 않는 문제와 관련되어 있습니다.

공격자는 취약한 PHP 환경에 특수하게 구성된 HTTP 요청을 전송해 메모리 처리 오류를 유발할 수 있습니다. 취약점이 성공적으로 악용되면 서버의 원격 코드 실행, 민감한 데이터 노출 또는 서비스 장애로 이어질 수 있습니다.

PHP 공식 프로젝트의 보안 공지와 Cloudflare의 분석에 따르면, 문제는 개별 웹사이트의 PHP 코드에만 국한되지 않고 PHP 런타임 자체에 존재합니다.

취약점 1

CVE-2026-109618

메모리 부족(OOM) 상황에서 요청 처리 및 정리 과정의 메모리 상태가 잘못 다뤄질 수 있는 문제입니다.

취약점 2

CVE-2026-109619

해제된 요청 메모리를 가리키는 오래된 전역 상태가 남아 이후 처리 과정에서 잘못 참조될 수 있는 문제입니다.

2. 취약점 발생 원리 이해하기

2-1. CVE-2026-109618: 메모리 부족 처리 오류

OOM(Out of Memory)은 프로그램이 필요한 메모리를 확보하지 못한 상황을 의미합니다. PHP는 이러한 오류를 처리하는 과정에서 실행 흐름을 중단할 수 있습니다. 이때 내부 요청 데이터가 완전히 초기화되지 않은 상태로 남으면 후속 정리 과정에서 잘못된 메모리 상태가 사용될 수 있습니다.

여기서 중요한 점은 단순히 메모리가 부족하다는 사실이 아니라, 오류가 발생했을 때 PHP가 내부 상태를 안전하게 처리하지 못할 수 있다는 것입니다.

2-2. CVE-2026-109619: Use-After-Free

Use-After-Free는 메모리를 해제한 뒤에도 해당 메모리를 가리키는 포인터나 참조를 사용하는 오류입니다. PHP의 요청 처리 과정에서 내부 상태가 적절하게 초기화되지 않으면 이후 요청 처리에서 잘못된 메모리 참조가 발생할 수 있습니다.

쉽게 이해하는 비유

메모리를 임시로 빌린 사무실이라고 생각해 보겠습니다. 사용이 끝나 사무실을 반납했는데도 주소록에 이전 주소가 남아 있다면, 다음 작업이 이미 다른 용도로 사용 중인 공간을 잘못 찾아갈 수 있습니다. Use-After-Free는 이러한 상황과 비슷합니다.

3. 영향 범위와 심각도

PHP 프로젝트와 보안 기관의 공개 자료는 PHP 5.4 이상을 포함한 여러 PHP 런타임 환경을 위험 범위로 다루고 있습니다. 특히 PHP를 통해 웹 요청을 처리하는 서버는 실제 사용 중인 런타임 버전과 공급업체별 패치 여부를 확인해야 합니다.

항목	확인된 정보
취약점 이름	PHP2Shell
CVE	CVE-2026-109618, CVE-2026-109619
심각도	공개 보안 권고에서 Critical로 분류
CVSS	9.2점으로 보고됨
주요 위험	원격 코드 실행, 정보 노출, 서비스 장애

참고: CVSS 점수는 공개 보안 권고에 보고된 값입니다. 실제 위험도는 운영 환경, 노출 상태, 구성 및 보안 통제에 따라 달라질 수 있습니다.

4. 패치 버전 확인

2026년 10월 21일 PHP 프로젝트가 발표한 수정 버전은 다음과 같습니다. 해당 버전 이상으로 업데이트하되, 사용 중인 배포판이나 호스팅 관리 도구가 별도 패치 빌드를 제공하는 경우 공급업체의 공지를 함께 확인해야 합니다.

PHP 브랜치	수정 버전	조치
PHP 8.5	8.5.12	해당 버전 이상 적용
PHP 8.4	8.4.27	해당 버전 이상 적용
PHP 8.3	8.3.36	해당 버전 이상 적용
PHP 8.2	8.2.35	해당 버전 이상 적용
PHP 8.1 이하	브랜치별 확인 필요	지원 여부 확인 및 마이그레이션 검토

PHP 8.1 이하와 같은 지원 종료 브랜치는 최신 지원 버전으로의 마이그레이션을 우선 검토해야 합니다. 다만 모든 구버전이 동일한 방식으로 수정되었다고 가정해서는 안 됩니다. 공급업체가 제공하는 보안 패치와 지원 정책을 확인하십시오.

5. Windows 및 Linux 서버 운영자 점검 절차

Step 1. 실제 PHP 실행 버전 확인

Windows 또는 Linux의 명령행에서 다음 명령을 실행합니다.

php -v

출력되는 버전이 CLI에서 실행되는 PHP 버전이라는 점에 주의해야 합니다. 웹 서버가 실제로 사용하는 PHP 버전과 다를 수 있으므로 PHP-FPM, Apache 모듈, FastCGI, 컨테이너 및 호스팅 패널 설정도 확인합니다.

Step 2. 웹 서비스의 PHP 버전 확인

운영 중인 서비스의 PHP 설정, 웹 서버 연결 방식, 배포 이미지 및 공급업체 패치 정보를 확인합니다. CLI 결과만으로 웹 요청을 처리하는 런타임이 안전하다고 판단하지 마십시오.

Apache: PHP 모듈 또는 FastCGI 연결 확인
Nginx: PHP-FPM 서비스와 연결된 소켓 또는 포트 확인
IIS: FastCGI에 등록된 PHP 실행 파일 경로 확인
컨테이너: 실제 배포 이미지와 실행 중인 컨테이너 버전 확인
호스팅: 관리 패널에서 사이트별 PHP 버전 및 패치 상태 확인

Step 3. 백업 및 업데이트 계획 수립

업데이트 전에 PHP 설정 파일, 확장 모듈 목록, 애플리케이션 파일 및 필요한 데이터를 백업합니다. 운영 서비스라면 테스트 환경에서 호환성을 확인하고 점검 시간, 롤백 절차 및 서비스 영향 범위를 검토합니다.

Step 4. 보안 패치 적용

공식 PHP 다운로드 페이지 또는 사용 중인 운영체제·호스팅 공급업체의 보안 업데이트 경로를 이용해 수정 버전을 적용합니다.

PHP 공식 다운로드 페이지

패키지 관리형 서버는 배포판에서 제공하는 수정 패키지의 버전과 보안 공지를 확인하십시오. 단순히 표시되는 버전 문자열만으로 패치 적용 여부를 판단할 수 없는 경우가 있습니다.

Step 5. 서비스 재시작 및 검증

PHP 실행 환경과 웹 서버 구성에 따라 업데이트한 런타임을 실제 서비스에 반영합니다. 필요한 서비스 재시작 또는 프로세스 교체 절차는 사용 중인 운영체제와 배포 방식에 따라 다릅니다.

웹 서비스의 정상 응답 여부 확인
애플리케이션 오류 로그 및 PHP 오류 로그 확인
필수 확장 모듈과 데이터베이스 연결 테스트
실제 웹 요청을 처리하는 런타임이 수정되었는지 확인
배포 이미지, 자동 확장 그룹 및 다른 서버에도 패치가 적용되었는지 확인

6. 패치 전후에 함께 적용할 보안 조치

6-1. WAF 보호 유지

Cloudflare는 2026년 10월 21일 PHP2Shell 대응용 WAF 보호 규칙을 공개했습니다. 공식 발표에 따르면 WAF가 적용된 무료 및 유료 고객에게 보호 기능이 배포되었습니다. 다만 WAF는 추가 방어 계층이며, PHP 업데이트를 대체하지 않습니다.

Cloudflare 공식 보안 분석 및 WAF 대응 발표

6-2. DB 관리 도구 접근 제한

phpMyAdmin 등 데이터베이스 관리 도구는 필요한 관리자만 접근하도록 제한합니다. VPN, 사내망, 허용된 IP 주소 및 다중 인증과 같은 통제를 검토하십시오. 데이터베이스 계정에는 업무 수행에 필요한 최소 권한만 부여하는 것이 좋습니다.

6-3. 업로드 기능과 요청 로그 점검

불필요한 파일 업로드 기능을 줄이고 요청 크기 제한 및 접근 통제를 검토합니다. 또한 웹 서버, PHP, 시스템 및 보안 장비 로그에서 비정상적인 요청과 예상하지 못한 프로세스 실행이 있었는지 확인합니다. 로그에 이상이 없다는 사실만으로 침해가 없었다고 단정할 수는 없습니다.

6-4. 컨테이너와 셸 제한만으로 해결하려 하지 않기

이번 문제는 PHP 런타임의 메모리 처리 결함입니다. 컨테이너에서 셸 실행 파일을 제거하거나 애플리케이션 코드를 수정하는 조치만으로 취약점이 해결된다고 볼 수 없습니다. 런타임 업데이트와 함께 권한 제한, 네트워크 통제 및 모니터링을 적용해야 합니다.

7. 추가로 확인할 사항: 10월 23일 PHP 공식 공지

중요: 최초 패치 적용만으로 모든 관련 점검이 끝나는 것은 아닙니다.

PHP 프로젝트는 2026년 10월 23일 세션 업로드 진행 기능과 관련된 추가 안내를 발표했습니다. 특정한 설정 조합에서 발생할 수 있는 관련 위험을 줄이기 위해, 다음 정기 버그 수정 릴리스까지 session.upload_progress.enabled=0으로 설정할 것을 권고했습니다.

공식 안내에 따르면 이 문제는 특정한 세션 직렬화 설정과 런타임 설정 변경이 함께 존재하는 경우와 관련됩니다. 모든 PHP 애플리케이션에 동일한 조건이 존재하는 것은 아닙니다.

PHP 공식 뉴스 아카이브에서 2026년 10월 23일 공지 확인

따라서 운영자는 최초 PHP2Shell 수정 버전 적용 여부뿐 아니라 후속 보안 공지도 확인해야 합니다. 설정 변경 전에는 애플리케이션이 해당 기능에 의존하는지 점검하고, 변경 후에는 파일 업로드 및 관련 기능을 테스트하십시오.

8. 자주 묻는 질문(FAQ)

Q1. PHP 소스 코드가 아니라 버전만 업데이트하면 되나요?

핵심 조치는 PHP 런타임의 보안 수정 버전을 적용하는 것입니다. 단, 애플리케이션과 확장 모듈의 호환성을 확인하고 웹 서버가 실제로 수정된 런타임을 사용하는지 검증해야 합니다.

Q2. Cloudflare를 사용한다면 업데이트하지 않아도 되나요?

아닙니다. Cloudflare WAF는 추가 방어 계층입니다. PHP 프로젝트는 업데이트를 가장 안전한 해결 방법으로 안내하고 있으며, WAF 적용 여부와 관계없이 런타임 패치를 진행해야 합니다.

Q3. phpMyAdmin을 설치하지 않았다면 안전한가요?

아닙니다. phpMyAdmin은 데이터베이스 관리 도구의 한 예일 뿐입니다. 위험 여부는 PHP 런타임의 버전과 실행 환경을 기준으로 판단해야 합니다.

Q4. PHP 버전이 수정 버전보다 높으면 무조건 안전한가요?

버전 숫자만으로 판단하지 마십시오. 사용 중인 브랜치, 공급업체의 패치 백포트 여부, 실제 웹 런타임, 후속 보안 공지 및 구성 상태를 함께 확인해야 합니다.

Q5. 이미 공격을 받았을 가능성이 있다면 어떻게 해야 하나요?

패치 적용과 별개로 보안 로그, 서버 프로세스, 계정 및 접근 기록을 점검해야 합니다. 침해 정황이 있다면 관련 증거를 보존하고 보안 담당자와 함께 조사하십시오. 단순한 버전 업데이트만으로 과거 침해 여부가 확인되거나 해결되는 것은 아닙니다.

9. 운영자 최종 점검 체크리스트

□ 모든 PHP 서버와 컨테이너 이미지 목록 확인
□ CLI 버전과 실제 웹 런타임 버전 비교
□ 공식 수정 버전 또는 공급업체 패치 적용
□ 필요한 서비스 재시작 및 정상 동작 확인
□ phpMyAdmin 등 관리 도구의 외부 접근 제한
□ DB 계정 최소 권한 및 업로드 설정 검토
□ WAF 규칙 적용 상태 확인
□ 의심스러운 요청과 프로세스 실행 기록 점검
□ 2026년 10월 23일 후속 PHP 공지 확인
□ 테스트·스테이징·운영 및 자동 배포 이미지의 패치 상태 확인

10. 최종 정리

PHP2Shell은 애플리케이션 코드만 살펴보는 것으로 해결할 수 없는 PHP 런타임 수준의 심각한 보안 문제입니다. 운영자는 PHP 공식 보안 공지에서 제시한 수정 버전을 기준으로 환경을 점검하고, 실제 웹 요청을 처리하는 런타임까지 업데이트해야 합니다.

패치 적용 이후에도 WAF, 접근 통제, 최소 권한, 로그 모니터링 및 후속 공지 확인을 병행하십시오. 특히 지원 종료된 PHP 브랜치를 사용 중이라면 장기 지원 정책과 마이그레이션 계획을 함께 검토하는 것이 중요합니다.

공식 및 참고 자료

업데이트 안내: 이 글은 2026년 10월 26일을 기준으로 확인한 공개 자료를 정리한 것입니다. PHP 보안 공지, 공급업체 패치 및 지원 정책은 변경될 수 있으므로 실제 운영 환경에 적용하기 전에 최신 공식 자료를 재확인하십시오.

이 글은 일반적인 보안 정보 제공을 목적으로 하며, 개별 서버의 침해 여부나 안전성을 보증하지 않습니다.

#PHP #PHP2Shell #CVE2026109618 #CVE2026109619 #웹보안 #원격코드실행 #보안패치 #서버보안 #DevSecOps

LUCKY BLOG

이 블로그 검색

Pinned Post