SK쉴더스, PHP 취약점 CVE-2026-109618·109619 보고서 발표

SK쉴더스가 PHP 취약점 CVE-2026-109618과 CVE-2026-109619를 분석한 보안 보고서를 발표하고 PHP 업그레이드와 모든 PHP 워커 재시작을 권고했다고 bloter.net이 보도했다. 이 취약점들은 원격 코드 실행(RCE)을 허용하는 것으로 보고서는 설명했다.

두 취약점은 PHP의 메모리 관리에서 메모리 부족(OOM) 상황 중 비정상적인 요청 종료에서 비롯된다. CVE-2026-109619는 동일한 PHP 워커에서 이전 요청의 남은 메모리 상태가 후속 요청에 재사용될 때 발생하는 use-after-free 조건을 악용한다. 기본 활성화된 session.upload_progress 파일 업로드 진행 기능이 이 취약점의 공격 경로로 사용된다.

CVE-2026-109618은 메모리 부족 후 초기화에 실패한 요청이 종료될 때 발생하며 임의 코드 실행을 가능하게 한다. SK쉴더스는 PHP 8.4.26과 Apache 웹 서버를 사용한 테스트 환경에서 인증 없이 웹 서버 권한으로 리버스 셸을 획득해 취약점을 재현했다.

영향을 받는 버전은 PHP 8.2.34 이하, 8.3.35 이하, 8.4.26 이하, 8.5.11 이하이며 수명 종료(EOL)된 PHP 8.1 및 이전 버전도 포함된다. 패치된 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상이다.

패치 후에도 남은 취약 서비스

해당 취약점들은 2026년 10월에 공개됐다. 2026년 10월 23일 기준 W3Techs에 따르면 서버 측 언어를 식별할 수 있는 웹사이트의 69.3%가 PHP를 사용했다. 11월 3일 Kaspersky는 Censys를 인용해 온라인에서 탐지된 취약한 PHP 서비스 4600만 개 중 2900만 개가 패치 배포 후에도 여전히 취약한 버전을 실행하고 있다고 분석을 발표했다.