PHP, 원격 코드 실행 취약점 2건 긴급 패치

PHP 개발팀이 원격 코드 실행이 가능한 치명적 취약점 2건을 수정한 보안 업데이트를 2026년 10월 21일 공개하고 즉시 패치할 것을 권고했다. 두 취약점은 CVE-2026-109618과 CVE-2026-109619로, PHP2Shell이라는 이름으로 함께 불린다. CVSS 4.0 기준 심각도는 모두 9.2다.

수정된 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12다. CVE-2026-109618은 요청 종료 처리 중 메모리 부족 오류가 발생할 때 나타나며 원격 코드 실행으로 이어질 수 있다. PHP 개발팀은 표준 mod_php 구성에서 HTTP 요청을 통해 인증 없이 코드를 실행하는 것을 확인했으며, 이는 웹 애플리케이션 코드가 실행되기 전 단계에서 이뤄진다.

CVE-2026-109619는 요청 메모리가 해제된 뒤 내부 상태가 남아, 워커 프로세스가 이후 요청을 처리할 때 이를 참조하면서 문제가 생기는 취약점이다. 영향을 받는 환경으로는 PHP-FPM, Apache mod_php, PHP-CGI, FrankenPHP, LiteSpeed가 꼽혔고, 이 가운데 mod_php의 위험이 가장 높은 것으로 평가됐다.

패치 확인 시 주의점

php -v 명령만으로는 패치 여부를 확인하기 어렵다. 웹 서비스가 다른 버전의 PHP-FPM이나 Apache 모듈을 사용할 수 있기 때문이다. Ubuntu 24.04 LTS에서는 패치된 패키지가 8.3.6-0ubuntu0.24.04.13으로 표시된다.

session.upload_progress.enabled=0 설정은 일부 공격 경로를 차단하지만 모든 변종을 막지는 못한다. PHP 8.5의 fatal_error_backtraces=0도 제한적인 완화책에 그친다.