PHP 원격 코드 실행 취약점 2종(CVE-2026-109618, CVE-2026-109619) 긴급 업데이트 권고

 

 

The PHP Group이 PHP 엔진 자체에서 발견된 심각한 원격 코드 실행(RCE) 취약점 2건을 긴급 패치했습니다.

 

'PHP2Shell'로도 불리는 이번 취약점은 웹 애플리케이션 코드가 아닌 PHP 런타임에 존재합니다. 그래서 애플리케이션 코드에 문제가 없더라도 취약한 버전의 PHP로 웹 요청을 처리하고 있다면 공격 대상이 될 수 있습니다.

 

CVE-2026-109618은 메모리 부족(OOM, Out-Of-Memory) 처리 과정의 예외 처리 미흡 취약점입니다. 요청 데이터가 완전히 초기화되기 전에 메모리 부족 오류가 발생하면 PHP가 요청 처리를 중단하는데, 이후 요청 종료(Shutdown) 과정에서 초기화되지 않은 비정상 데이터를 정상 데이터로 취급하면서 문제가 발생합니다.

 

CVE-2026-109619는 해제된 메모리 사용(Use After Free) 취약점입니다. 이전 요청에서 사용한 내부 상태 정보가 메모리 해제 후에도 초기화되지 않고 남아 있다가, 같은 워커(Worker) 프로세스가 처리하는 다음 요청에서 정상 초기화 전에 다시 참조되면서 발생합니다.

 

공격자는 별도의 인증 없이 조작된 HTTP 요청을 보내 웹 서버 실행 계정 권한으로 임의 코드를 실행할 수 있으며, 두 취약점 모두 CVSS v4.0 기준 9.2점(Critical)을 받았습니다. 특히 Apache mod_php 환경은 애플리케이션 코드가 실행되기도 전에 공격이 가능한 것으로 확인되어 위험도가 가장 높습니다. 또한 워커 프로세스 메모리에 남아 있는 다른 요청의 비밀번호, 인증 토큰, API 키 등이 유출될 수 있습니다.

 

현재 패치 공개 이전부터 해당 취약점을 노린 초기 공격 시도가 관측되고 있는 만큼, 사용자분들의 신속한 업데이트를 권고 드립니다.

 

 

CVE 번호

 

CVE-2026-109618

CVE-2026-109619 

 

 

영향 받는 버전 및 패치 버전

 

PHP 브랜치	영향 받는 버전	패치 버전
8.5	8.5.12 미만	8.5.12 이상
8.4	8.4.27 미만	8.4.27 이상
8.3	8.3.36 미만	8.3.36 이상
8.2	8.2.35 미만	8.2.35 이상

[표 1] PHP 브랜치별 영향 받는 버전 및 패치 버전  

 

※ PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 모든 PHP 설치 환경이 영향을 받습니다.

※ 리눅스 배포판 패키지는 버전 번호가 그대로인 채로 패치가 반영(백포트)되었을 수 있으므로, 패키지 변경 이력(Changelog)에서 해당 CVE 포함 여부를 확인하시기 바랍니다.

※ PHP 8.1 이하 버전은 공식 보안 지원이 종료되었으므로 지원 중인 버전으로 업그레이드하시기 바랍니다.

 

 

참고:

https://www.php.net/archive/2026.php#2026-10-21-5

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp 

https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&pageIndex=1&nttId=72227&menuNo=205020 

https://nvd.nist.gov/vuln/detail/cve-2026-109618

https://nvd.nist.gov/vuln/detail/cve-2026-109619