KISA, PHP 원격코드실행 취약점 임시 대응 권고
PHP그룹이 공식 패치를 내놓기 전, KISA가 CVE-2026-115560 대응으로 파일 업로드 진행 기능 비활성화를 권고했다.
한국인터넷진흥원(KISA)이 PHP의 원격코드실행(RCE) 취약점 CVE-2026-115560에 대한 긴급 임시 대응을 권고했다. PHP그룹이 공식 패치를 아직 공개하지 않은 가운데 나온 조치다.
이 취약점은 PHP가 세션을 처리하는 방식에서 발생한다. 공격자가 서버에서 임의의 명령이나 프로그램을 실행할 수 있게 된다는 것이 KISA의 설명이다. bloter.net이 이번 권고를 보도했다.
영향을 받는 서버는 두 조건을 모두 충족해야 한다. 런타임에서 세션 데이터 저장 방식을 변경하고, 동시에 파일 업로드 진행 표시 기능을 활성화한 경우다.
KISA는 php.ini 또는 PHP-FPM 설정에서 session.upload_progress.enabled 값을 0으로 설정하고 PHP 워커 프로세스를 재시작할 것을 권고했다. 이번 조치는 별도 취약점 CVE-2026-109619 대응에 이미 포함됐던 설정이어서, 당시 해당 기능을 꺼둔 서버는 추가 작업이 필요 없다.
패치는 다음 정기 업데이트에
PHP그룹은 2026년 10월 23일 CVE-2026-115560에 대한 임시 대응 방안을 공지했다. 영향을 받는 버전과 수정 버전은 아직 밝히지 않았으며, 공식 패치는 다음 정기 업데이트에서 제공할 계획이다.
앞서 2026년 10월 21일에는 CVE-2026-109619가 공개됐고, 당시 대응 방안에도 파일 업로드 진행 표시 기능 비활성화가 포함됐다.
한눈에 보기
CVE-2026-115560은 어떤 서버가 영향을 받나?
런타임에서 세션 데이터 저장 방식을 변경하고 파일 업로드 진행 표시 기능을 활성화한 서버가 해당된다.
지금 바로 할 수 있는 조치는?
php.ini 또는 PHP-FPM 설정에서 session.upload_progress.enabled를 0으로 설정하고 PHP 워커 프로세스를 재시작하면 된다.
공식 패치는 언제 나오나?
PHP그룹은 다음 정기 업데이트에서 공식 패치를 제공할 계획이며, 영향을 받는 버전과 수정 버전은 아직 공개하지 않았다.