미 CISA, PHP 취약점 2건 악용 확인…연방기관 10월 29일까지 패치
CISA가 'PHP2Shell'로 불리는 PHP 취약점 2건을 실제 공격에 악용된 취약점 목록에 추가하고 미 연방 민간기관에 패치를 명령했다.
미국 사이버보안청(CISA)이 PHP 취약점 2건을 실제 공격에 악용된 것으로 확인하고 '알려진 악용 취약점'(KEV) 목록에 추가했다고 테크크런치가 보도했다. 해당 취약점은 CVE-2026-109618과 CVE-2026-109619이며, 'PHP2Shell'이라는 별칭으로 불린다.
CISA는 미국 연방 민간기관에 영향을 받은 시스템을 10월 29일까지 패치하라고 명령했다. 보안 업체 칼리프 측 연구진이 원격 코드 실행 취약점을 발견한 것으로 전해졌다.
PHP 개발팀은 10월 21일 두 취약점을 수정하는 보안 업데이트를 배포했다. 일부 기관과 대기업은 패치를 적용하기 위해 웹사이트를 일시적으로 내리기도 했다.
PHP 프로젝트는 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전으로 업데이트할 것을 권고하고 있다.
이전 감사에서 지적됐지만 미뤄진 취약점
2024년 보안 감사에서 관련 취약점이 발견됐으나, 실제 악용 사례가 입증되지 않아 수정되지 않은 것으로 전해졌다.
한눈에 보기
CISA가 연방기관에 패치를 요구한 기한은 언제인가?
CISA는 미국 연방 민간기관에 영향을 받은 시스템을 10월 29일까지 패치하라고 명령했다.
PHP 취약점은 어떤 버전으로 업데이트해야 하나?
PHP 프로젝트는 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전으로 업데이트할 것을 권고하고 있다.
PHP2Shell 취약점은 언제 수정됐나?
PHP 개발팀이 10월 21일 두 취약점을 수정하는 보안 업데이트를 배포했다.