PHP 새 취약점, 정식 패치 전 임시 조치 필요

10월 24일 12시–10월 24일 18시 수집분

이번 시간대의 핵심

이번 시간대의 핵심은 PHP에 아직 정식 패치가 없는 새 원격코드 실행 취약점이 공지됐다는 점입니다. 이와 함께 21일 공개된 PHP2Shell을 다루는 깃허브 공개 코드를 검증 없이 실행하지 말라는 경고도 나왔습니다.

주목할 소식

새 PHP 취약점, 정식 패치 전 — 블로터가 전한 KISA의 24일 공지에 따르면, PHP 개발진은 23일 새 원격코드 실행 취약점 CVE-2026-115560의 임시 대응책을 내놓았고 정식 패치는 다음 정기 업데이트에 담길 예정입니다. 이 취약점은 기존 업데이트로 해결되지 않습니다. KISA는 session.upload_progress.enabled 값을 0으로 바꾸고 PHP 작업 프로세스를 모두 재시작하라고 권고했습니다. PHP 개발진은 문제가 되는 설정 조합이 흔하지 않아 악용 가능성은 낮다고 설명했습니다. [2]

PHP2Shell 공개 코드, 실행 전 검증 — 안랩 ASEC은 21일 공개된 PHP2Shell을 깃허브에서 검색한 결과, 상위 100개 저장소 가운데 99개가 이 취약점을 다뤘다고 밝혔습니다. PHP2Shell은 CVE-2026-109618과 CVE-2026-109619 두 건을 묶어 부르는 이름입니다. 안랩은 저장소의 코드를 직접 검증하지는 않았습니다. 다만 공개 코드에 악성 기능이 숨어 있을 수 있다며, 격리된 환경에서 먼저 검증하고 PHP를 수정 버전으로 업데이트하라고 권고했습니다. 이 업데이트는 PHP2Shell을 고친 것이며, 새 취약점 CVE-2026-115560은 해결하지 못합니다. [3][2]

이전 흐름과 비교

조선비즈는 NBC를 인용해 22일(현지시각) 저녁 기준으로 주요 보안기업 9곳이 PHP2Shell 공격의 성공 사례를 찾지 못했다고 전했습니다. 아마존은 패치 공개 전인 17일에 공격 시도를 포착했고, 워치타워는 21일 자체 탐지용 서버망에서 악용을 관찰했습니다. 그러나 실제 서버 침해 성공은 아직 확인되지 않았습니다. 추세를 판단할 비교 근거는 부족합니다. [4][1][3]

다음에 볼 점

PHP 개발진이 다음 정기 업데이트를 언제 내놓는지, 실제 서버 침해 사례가 보고되는지 지켜볼 필요가 있습니다.

검토 범위: 이번 6시간 원문 확보 92건 중 92건, 제목만 확보한 7건은 분석에서 제외했습니다. 비교 자료는 최근 7일 수집 기록. 수집 시각과 발표일은 다를 수 있습니다.

근거 자료

[1] “20년 숨은 보안 결함도 AI가 찾는다”… PHP 사태로 본 ‘버그마게돈’ 공포

[2] PHP서 원격코드 취약점 추가 발견…KISA ‘긴급 임시조치’ 권고

[3] PHP 취약점 공격코드 깃허브 확산…안랩, 2차 피해 경고

[4] “PHP 해킹 피해 아직 없어… 취약점 악용에 시간 걸릴 듯”