윈디하나의 블로그

윈디하나의 누리사랑방. 이런 저런 얘기

1 개 검색됨 : 2026/10/22 에 대한 결과

PHP 보안 버그: PHP2Shell

글쓴시간
분류 기술,IT/서버
PHP 보안 버그

사용자 삽입 이미지


2026.10.22 에 PHP 에서 치명적인 보안 패치가 발표되었습니다. PHP2Shell 이라고 부릅니다.

아래 보안 취약점에 대한 패치입니다.

- RCE via OOM corruption (CVE-2026-109618)
- RCE via stale global state (CVE-2026-109619)

위 보안 취약점은 RCE(Remote Code Execution)으로 매우 위험한 취약점입니다. 즉시 업데이트를 권고하고 있습니다. 어느정도냐면 만약 업데이트를 못하는 경우 서비스를 중단할것을 권장할 정도입니다. 그정도로 위험하다고 합니다. 취약점 이름에 shell 들어가면 극도로 위험한 겁니다. 현재 위 보안 취약점을 이용한 해킹 시도가 있다고 알려져 있습니다.

이 블로그는 7.4 으로 운영되고 있습니다. PHP 8.2 이상은 패치가 나와있지만, 그 이하는 공식적인 패치는 없습니다. 게다가 솔라리스 11도 CBE 11.4.90 으로 업그레이드 된 상태라 빌드에 난항이 예상됩니다.

하지만 아래와 같이 PHP 팀에서 작업한 패치는 나와있네요.

PHP 7.4: https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-109619
PHP 8.0: https://github.com/php/php-src/tree/PHP-8.0-CVE-2026-109618-109619
PHP 8.1: https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619

위 취약점들은 십수년전부터 가능성은 있지만, 취약하지는 않은 것으로 생각되었다가, GPT-5.6 Sol 이 이 취약점을 악용하는 코드를 찾아냈다고 해서 긴급하게 패치된 걸로 알려져 있습니다. 즉 취약점을 AI 가 찾은 셈입니다.

주말에 패치 작업 해야겠네요. 일단 급한대로 임시조치는 취해놓았습니다. (session.upload_progress.enabled=0 으로 설정후 재시작)

----

2026.10.25 추가

방금 패치를 마쳤습니다. 이래서 미리미리 PHP 최신버전으로 업그레이드 해 놓아야 합니다. 미리 최신버전으로 업그레이드 해 놓았다면 5분도 안 걸릴 패치 작업이, 미리 안 해 놓는 바람에 이것저것 패치하느라고 꼬박 8시간 걸리게 되었네요. 그나마 7.4 용 소스 패치가 나와있어서 다행이었습니다.

PHP 는 제대로된 서버 관리 조직이나 제대로된 개발 조직이 없는 소규모 회사에서도 많이 사용되는 언어입니다. 이런 업체들은 패치가 어렵기 때문에 이번 사태에 문제가 될걸로도 생각합니다.

뉴스를 보니 전세계 웹 사이트의 70% 가 PHP으로 운영되고 있다고 하네요. 그만큼 사용하기 쉽고 수행 속도가 빠르고 메모리도 적게 사용하기 때문에, 성능이 낮은 서버에서도 잘 실행됩니다. 저도 그래서 사용하고 있구요.

이번일로 PHP 가 신뢰를 잃거나 하지는 않을겁니다. 딱히 다른 언어에 비해 보안이 더 취약하다고도 생각하지 않습니다. node 도 몇일전에 RCE 보안 이슈가 뜨기도 했기도 하구요. 타 언어라고 해도 마찬가지입니다. PHP 를 써야 하는 업체는 애초에 대안이 없습니다. 단지 PHP 의 특성상 제대로된 조직이 없는 열악한 환경을 가진 곳에서도 사용되기 때문에 좀 더 두드러지게 보이는 거겠죠.

----

https://www.php2shell.com/