PHP 런타임서 치명적 결함 2건 공개...인증 없이 원격 코드 실행 가능

Wiz와 OpenAI, Calif가 PHP 런타임에서 발견된 메모리 안전성 취약점인 PHP2Shell을 공동 공개했다. 취약점은 CVE-2026-109618과 CVE-2026-109619 두 건으로 등록됐다. 보안 매체 dailysecu.com이 이를 보도했다.

두 결함은 모두 CWE-824(초기화되지 않은 포인터 접근)로 분류되며 CVSS v4.0 점수는 9.2(치명적)다. 인증이나 사용자 상호작용 없이 원격 코드 실행으로 이어질 수 있다. 다만 공격 복잡도는 높음(High)으로 평가됐는데, 내장 완화 기법을 우회하고 동일한 Apache 워커에서 정교한 힙 셰이핑을 수행해야 하기 때문이다.

CVE-2026-109618은 PHP가 longjmp()를 통해 메모리 부족 상황에서 빠져나오는 처리 방식에서 비롯됐다. Calif와 Wiz, OpenAI, Quarkslab이 보고자로 이름을 올렸다. CVE-2026-109619는 치명적 오류에서 빠져나올 때 전역 상태가 해제된 메모리를 가리키는 문제에서 발생했으며 Wiz와 Calif, OpenAI가 보고했다.

PHP2Shell은 PHP 5.4.0 이후 버전에 영향을 미치는 것으로 추정되지만 모든 릴리스가 개별적으로 검증되지는 않았다. 시연된 5가지 공격 기법 가운데 3가지는 PHP의 세션 업로드 진행률 기능을 원격 트리거로 사용해 애플리케이션 코드보다 먼저 실행되는 경로를 활용한다.

한편 dailysecu.com에 따르면 서버 측 언어가 확인된 웹사이트 가운데 69% 이상이 PHP를 사용하는 것으로 나타났다.