[긴급 보안 공지] PHP2Shell (CVE-2026-109618, CVE-2026-109619) 취약점 안내 및 업데이트 가이드 - 자료실

자료 기본정보

주요 프로그램 스펙

평점: 10.0
라이선스: free

피드백 및 다운로드

사용자 평점: 10.0
조회: 88

제조사 및 등록 정보

제작사: luzensoft
등록일: 2026-10-22 20:36:08

> 설명

2026년 10월 21일, PHP 개발팀은 인증 없이 원격 코드 실행(RCE)이 가능한 매우 치명적인 2건의 취약점을 긴급 패치했습니다. 통칭 'PHP2Shell'로 불리는 이 취약점들은 CVSS v4.0 기준 9.2점(Critical)의 최고 등급을 기록하였으며, 전 세계 웹사이트의 상당수가 사용하는 PHP 환경에 직접적인 위협이 되고 있습니다.

1. 취약점 개요 및 위험성

취약점 식별자:
- CVE-2026-109618: OOM(Memory Limit 초과) 상황에서 longjmp() 예외 처리 중 발생하는 메모리 손상 취약점
- CVE-2026-109619: 예외 발생 이후 전역 상태(Global State)가 해제된 메모리 주소에 잔존하여 발생하는 Use-After-Free(UAF) 취약점
심각도: Critical (CVSS v4.0 기준 9.2)
핵심 위험:
- 애플리케이션의 인증 절차나 내부 코드가 실행되기도 전에, HTTP 요청 단계(multipart 처리 등)에서 공격자가 임의의 코드를 원격으로 실행(RCE)할 수 있습니다.
- 프로세스 메모리 유출 등 추가적인 정보 탈취 위험도 존재합니다.

2. 영향받는 버전 및 공식 패치 버전

PHP 공식 팀은 신속하게 보안 패치 버전을 배포했습니다. 사용 중인 버전을 확인하고 즉시 상위 버전으로 업그레이드해야 합니다.

PHP 브랜치	취약한 버전	보안 패치 완료 버전 (수정 버전)
PHP 8.5	8.5.x 이하	8.5.12 이상
PHP 8.4	8.4.x 이하	8.4.27 이상
PHP 8.3	8.3.x 이하	8.3.36 이상
PHP 8.2	8.2.x 이하	8.2.35 이상
PHP 8.1 이하	전 버전 (EOL)	공식 패치 없음 (OS 패키지 및 LTS 벤더 업데이트 확인 필요)

⚠️ 주의: PHP 8.1 이하 버 버전은 공식 지원이 종료(EOL)되어 업스트림 패치가 제공되지 않습니다. 해당 버전을 사용 중인 경우, 우분투(Ubuntu), 데비안(Debian), 알마리눅스(AlmaLinux) 등 각 운영체제 패키지 유지보수사(LTS)가 제공하는 백포트(Backport) 보안 패치를 적용하거나 즉시 지원되는 PHP 버전으로 업그레이드해야 합니다.

3. 긴급 보안 업데이트 및 조치 방법

가장 안전하고 완전한 해결책은 PHP 엔진을 패치 버전 이상으로 업데이트하는 것입니다. 당장 패치가 어려운 경우 아래의 임시 완화 조치를 적용할 수 있습니다.

방법 A: PHP 패키지 업데이트 (권장)

사용 중인 OS 환경에 맞추어 패키지를 최신 상태로 업그레이드합니다.

Ubuntu / Debian 환경:

Bash

sudo apt update
sudo apt upgrade php8.3 php8.3-fpm # (사용 중인 버전에 맞게 수정)
sudo systemctl restart php8.3-fpm

AlmaLinux / RHEL 환경:

Bash

sudo dnf upgrade php
sudo systemctl restart php-fpm

방법 B: 임시 완화 조치 (업데이트 전 긴급 적용)

패치를 즉시 적용하기 어려운 경우, php.ini 파일에서 세션 업로드 진행률 관련 설정을 비활성화하여 공격 경로를 일부 축소할 수 있습니다.

php.ini (또는 /etc/php.d/, PHP-FPM 풀 설정 파일)을 엽니다.
아래 설정을 변경합니다 (둘 다 0이어야 합니다):
Ini, TOML
```
session.upload_progress.enabled = 0
session.auto_start = 0
```
웹 서버 및 PHP-FPM 서비스를 재시작합니다:
Bash
```
sudo systemctl restart php-fpm
# 또는 Apache 사용 시
sudo systemctl restart httpd
```
※ 주의: session.auto_start를 끌 때 session_start()를 명시적으로 호출하지 않는 페이지에서 세션 기능에 영향을 줄 수 있으므로 적용 전 서비스 검증이 필요합니다.

4. 서버 관리자를 위한 권고사항

실제 실행 환경 검증: 명령어 창(php -v)에서 확인하는 버전과 실제 웹 서버(Nginx/Apache + PHP-FPM 등)가 구동되는 환경의 버전이 다를 수 있으므로 웹 서비스 기준으로 버전을 정확히 확인하세요.
로그 모니터링: 웹 서버 에러 로그 및 시스템 로그에서 비정상적인 메모리 초과(OOM)나 의도되지 않은 반복 요청 패턴이 있는지 모니터링을 강화하세요.

이번 취약점은 전 세계 수많은 웹 서비스에 치명적인 영향을 미칠 수 있으므로, 서버 관리자분들께서는 가급적 빠른 시일 내에 패치를 적용하시기 바랍니다.

PHP2Shell(CVE-2026-109618, CVE-2026-109619) 긴급 보안 업데이트 및 패치 다운로드를 위해 참고할 수 있는 공식 링크들을 정리해 드립니다.

PHP 공식 다운로드 페이지 (소스 코드 및 윈도우 바이너리):
- PHP 공식 다운로드 센터
PHP GitHub 소스 및 릴리스 페이지 (패치 내용 확인):
- PHP GitHub Releases
각 브랜치별 상세 릴리스 노트 및 변경 사항 (PHP.Watch):
보안 취약점 상세 정보 (CVE 참고):
- Red Hat CVE-2026-109618 분석

💡 리눅스 사용자 참고: 우분투(Ubuntu), 데비안(Debian), 알마리눅스(AlmaLinux) 등의 운영체제를 사용 중이시라면 소스 컴파일 방식보다는 각 배포판(OS 벤더)의 공식 패키지 매니저(apt, dnf)를 통해 제공되는 백포트 패치 적용을 권장합니다.

기술문서

보안