- 글쓴시간
- 분류 기술,IT/서버
2026.10.22 에 PHP 에서 치명적인 보안 패치가 발표되었습니다. PHP2Shell 이라고 부릅니다.
아래 보안 취약점에 대한 패치입니다.
- RCE via OOM corruption (CVE-2026-109618)
- RCE via stale global state (CVE-2026-109619)
위 보안 취약점은 RCE(Remote Code Execution)으로 매우 위험한 취약점입니다. 즉시 업데이트를 권고하고 있습니다. 어느정도냐면 만약 업데이트를 못하는 경우 서비스를 중단할것을 권장할 정도입니다. 그정도로 위험하다고 합니다. 취약점 이름에 shell 들어가면 극도로 위험한 겁니다. 현재 위 보안 취약점을 이용한 해킹 시도가 있다고 알려져 있습니다.
이 블로그는 7.4 으로 운영되고 있습니다. PHP 8.2 이상은 패치가 나와있지만, 그 이하는 공식적인 패치는 없습니다. 게다가 솔라리스 11도 CBE 11.4.90 으로 업그레이드 된 상태라 빌드에 난항이 예상됩니다.
하지만 아래와 같이 PHP 팀에서 작업한 패치는 나와있네요.
PHP 7.4: https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-109619
PHP 8.0: https://github.com/php/php-src/tree/PHP-8.0-CVE-2026-109618-109619
PHP 8.1: https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619
위 취약점들은 십수년전부터 가능성은 있지만, 취약하지는 않은 것으로 생각되었다가, GPT-5.6 Sol 이 이 취약점을 악용하는 코드를 찾아냈다고 해서 긴급하게 패치된 걸로 알려져 있습니다. 즉 취약점을 AI 가 찾은 셈입니다.
주말에 패치 작업 해야겠네요. 일단 급한대로 임시조치는 취해놓았습니다. (session.upload_progress.enabled=0 으로 설정후 재시작)
----
https://www.php2shell.com/
