원문 캡처 · huntress.com
원문 캡처 · huntress.com

PHP 보안팀은 CVE-2026-109618과 CVE-2026-109619을 치명적 취약점으로 분류하고 보안 업데이트를 예고했다. 아직 영향받는 버전과 기술적 원인은 공개되지 않았다. Huntress는 패치가 나오기 전 PHP 설치 위치를 파악하고, PHP 프로세스가 비정상적인 프로그램을 실행하는지 살피라고 권고했다.

Hacker News에 취약점 두 건의 공개가 임박했다는 글이 올라온 뒤, watchTowr는 유출된 내용이 사실이라고 확인했다. PHP 보안팀은 두 취약점 모두 CVSS v4.0 기준 9.2점이라고 밝혔다. 업데이트는 당초 엠바고보다 하루 앞선 10월 21일 14:00 UTC에 공개할 예정이며, 취약점 세부 내용이 공개되거나 실제 악용 정황이 나타나면 더 일찍 내놓을 수 있다고 밝혔다.

공개 보도는 두 취약점을 PHP 핵심부의 원격 코드 실행 취약점으로 설명한다. 이는 공격자가 서버에서 원하는 명령을 실행할 수 있다는 의미지만, PHP 보안팀은 아직 영향받는 버전과 수정 버전을 공개하지 않았다. 일부 보도는 PHP 5·6·7·8이 영향을 받는다고 전했고, 일부 연구자는 현재 지원되는 PHP 8 브랜치만 수정될 것으로 예상했다. PHP는 영향받는 버전과 수정 버전, 취약점의 상세 내용을 10월 21일 보안 업데이트와 함께 공개하겠다고 밝혔다.

취약점의 기술적 원인이나 PHP의 어느 부분이 영향을 받는지는 아직 알려지지 않았다. 일반적인 웹 요청으로 공격할 수 있는지, 특정 설정이 필요한지도 확인되지 않았다. Huntress는 공개된 기술 정보가 없어 개념 증명 코드를 만들거나 재현하지 않았으며, 당시 공개된 익스플로잇 코드도 알지 못한다고 밝혔다. 온라인에 짧은 공격 영상이 잠시 올라왔다가 삭제된 적은 있다.

Huntress는 PHP 워커 프로세스가 비정상적인 자식 프로세스를 실행하는지 살피라고 조언했다. 예를 들어 php-fpm, php-cgi, php-cgi.exe, httpd, apache2가 셸이나 인터프리터, 다운로드·네트워크 도구를 실행하면 확인이 필요하다. 주의할 대상에는 sh, bash, cmd.exe, powershell.exe, python, perl, curl, wget, nc, certutil.exe 등이 있다. 명령줄에 /dev/tcp/, fsockopen, mkfifo가 포함됐는지, 웹 서버에서 whoami, id, uname -a, ipconfig 같은 정찰 명령이 실행됐는지도 살펴볼 수 있다.

Huntress는 최근 사고에서 PHP FastCGI 프로세스가 무작위 표식이 든 작은 PHP 파일을 쓸 수 있는 임시 디렉터리에 만들고 실행한 뒤 삭제하는 사례를 봤다고 전했다. 쓸 수 있는 디렉터리가 없으면 !notwrtbl!을 출력했다. Huntress는 이 패턴이 PHP2Shell과 관련된 것은 아니지만, PHP가 예상하지 못한 프로세스를 실행하는 사례라고 설명했다. 인터넷에 노출된 리눅스 웹 서버나 공유 호스팅 환경은 감시가 충분하지 않을 수 있으며, 엔드포인트 탐지 기능이 없는 서버에서는 취약점 악용이 발견되지 않은 채 이어질 수 있다고 덧붙였다.

조직이 지금 준비할 일

Huntress는 수정판이 나오면 바로 적용할 수 있도록 준비하라고 권고했다.

  • 웹 서버뿐 아니라 php.exe나 php-cgi.exe를 포함한 장비·윈도우 소프트웨어, cPanel·Plesk 같은 제어판, WordPress·Drupal·Joomla·Magento를 실행하는 시스템까지 모든 PHP 설치를 파악한다.
  • 10월 21일 오전 10시(ET)를 패치 작업 시점으로 계획하고 인터넷에 노출된 시스템부터 업데이트한다. PHP 공식 발표에서 수정 버전을 확인하고, 리눅스 배포판과 호스팅 업체가 제공하는 백포트 패키지도 살핀다.
  • PHP 5·7 또는 8.0·8.1처럼 지원이 종료된 환경은 수정판을 받지 못할 수 있다. 업그레이드하거나 인터넷에서 분리하고, 조치 전까지 VPN이나 웹 애플리케이션 방화벽(WAF) 뒤에 둔다.
  • PHP 워커가 셸·인터프리터·다운로드 도구를 실행하면 경보가 발생하도록 한다. 리눅스 서버에서 엔드포인트 탐지 기능을 사용하지 않는 경우, 플로리안 로트(Florian Roth)의 무료 도구 process-watcher를 관찰 모드로 실행해 관련 동작을 살필 수 있다.
  • 의심스러운 활동을 발견하면 서버를 격리하고 웹 서버와 PHP 로그를 보존한다. 웹 루트의 웹셸과 새 파일, 새 크론 작업·예약 작업·계정도 확인한다.

Huntress는 파트너 엔드포인트에서 업데이트 전 정상적인 PHP 동작 기준선을 수집했으며, 수정판과 기술 정보가 공개되면 이를 새 활동과 비교할 계획이라고 밝혔다. 윈도우와 리눅스에서 웹 서버 프로세스가 셸을 실행하는 행위와 일반적인 웹셸 활동을 탐지하는 기능이 이미 적용돼 있고, 보안관제센터(SOC)가 PHP 관련 활동을 감시하고 있다고 덧붙였다. 탐지 규칙은 기술 정보가 공개된 뒤 huntresslabs/threat-intel에 게시할 예정이다. 현재 확인된 침해 지표(IoC)는 없다.

관련 자료: watchTowr의 취약점 FAQ, BleepingComputer 보도.