PHP, 패치 없는 원격 코드 실행 취약점 완화책 공개

PHP 보안팀이 아직 패치가 없는 원격 코드 실행 취약점 CVE-2026-115560에 대한 완화책을 공개했다고 보안 매체 bleepingcomputer.com이 보도했다. 이 취약점은 시스템에서 session.serialize_handler가 php_binary 또는 php_serialize로 설정된 뒤 런타임에 ini_set()로 php로 전환되고, session_start() 전에 세션 업로드 진행률 기능이 활성화된 경우에만 악용될 수 있다.

PHP팀은 CVE-2026-115560의 전체 권고문을 다음 릴리스와 함께 발표할 예정이라고 밝혔다. 패치가 나오기 전까지는 session.upload_progress.enabled=0으로 설정할 것을 권장했다.

PHP2Shell 취약점 패치 후 공격 시도 확인

PHP 보안팀은 웬즈데이에 PHP2Shell 취약점(CVE-2026-109618, CVE-2026-109619)을 패치했다. 아마존 위협 인텔리전스 연구원들은 공격자들이 패치가 나오기 4일 전부터 이 취약점을 겨냥하기 시작했다고 밝혔다.

여러 사이버보안 업체가 공개 전에 실패한 공격 시도를 탐지했다. Dataminr의 TRACE 팀은 목요일 보고서에서 활동이 스캐닝, 핑거프린팅, 작동하지 않는 익스플로잇에 국한됐으며 알려진 침해 사례는 없다고 전했다.