PHP 재단은 PHP2Shell과 관련된 세 번째 원격 코드 실행(RCE) 취약점에 대해 긴급 패치를 내지 않고, 다음 정기 PHP 업데이트에서 수정하겠다고 밝혔다. 재단은 취약점이 악용되려면 드문 설정 조합이 필요하다고 설명하며, 그때까지 session.upload_progress.enabled=0으로 설정하라고 권고했다.
재단은 CVE-2026-115560 식별자를 예약했으며, 금요일에 정보 안내문을 게시했다. 재단 사무총장 엘리자베스 배런(Elizabeth Barron)은 이 문제가 “실제 PHP 사용 환경에서 발생할 것으로 예상하지 않는 매우 드문 설정과 특정 애플리케이션 코드의 조합”을 요구한다고 말했다.
취약한 구성은 session.serialize_handler를 php_binary 또는 php_serialize로 설정한 뒤, session_start()를 호출하기 전에 실행 중 ini_set()으로 php로 바꾸는 경우다. 여기에 세션 업로드 진행률 기능도 켜져 있어야 한다. 재단은 이 구성이 실제 애플리케이션에서 드물 것으로 보고, 정기 버그 수정 릴리스 전까지 해당 기능을 끄면 이 RCE 경로를 차단할 수 있다고 안내했다. PHP 보안 안내
앞서 공개된 CVE-2026-109618과 CVE-2026-109619는 PHP2Shell로 불리며, PHP의 메모리 안전성 결함과 관련된 취약점이다. PHP 재단은 수요일 두 취약점의 수정 사항을 공개했다. 알려진 서버 측 프로그래밍 언어를 사용하는 웹사이트 가운데 약 70%에서 PHP가 쓰인다.
금요일 현재 PHP2Shell 취약점에 대한 악용 시도와 개념 증명 코드는 보고됐지만, 성공적인 침해가 확인된 사례는 공개되지 않았다. 배런은 공개 전 두 취약점의 성공적 악용 증거와 패치된 PHP 버전에서의 악용 증거를 확인하지 못했다고 말했다. 여러 보안 연구자도 악용 시도는 기록했으나 실제 공격 성공은 확인하지 못했다고 전했다.
구글 클라우드 산하 Mandiant의 최고기술책임자 찰스 카마칼(Charles Carmakal)은 대규모 악용의 증거는 없지만 제한적인 악용이 이미 시작됐을 가능성을 배제할 수 없으며 위협은 여전히 심각하다고 밝혔다. 그는 온라인에 공개된 일부 개념 증명 코드는 원격 코드 실행이 불가능한 것으로 보이지만, 기본 설정의 mod_php에서는 RCE가 가능한 코드를 검증했고 PHP-FPM에서는 그렇지 않았다고 덧붙였다. 카마칼의 게시물
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요