안녕하세요. 에스유소프트입니다.
서비스 안정성을 위해 최신 보안 이슈 관련하여 아래와 같이 안내드립니다.
최근 PHP에서 세션 업로드 진행률(Session Upload Progress) 기능의 취약점을 악용하여
서버 내 원격 코드 실행(RCE)이 가능한 고위험군 취약점(일명 'PHP2Shell')이 발견되어 관련 안내 및 긴급 조치 방안을 공지합니다.
이는 웹 서비스를 제공하는 모든 PHP 설치 환경(PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed 등)에 영향을 미칩니다.
이 중 mod_php는 인증되지 않은 단일 요청만으로 애플리케이션 실행 전 단계에서 공격을 성공시킬 수 있음이 검증되어, 가장 치명적인 위험도를 가집니다.
□ 개요
- The PHP Group은 자사 제품에서 발생하는 취약점을 해결한 보안 업데이트 발표 [1]
- 영향을 받는 버전을 사용 중인 사용자는 해결 방안에 따라 최신 버전으로 업데이트 권고
□ 설명
- PHP에서 발생하는 Improper Handling of Exceptional Conditions 취약점(CVE-2026-109618) [1][2]
- PHP에서 발생하는 Use After Free 취약점(CVE-2026-109619) [1][3]
□ 영향받는 제품 및 해결 방안
| 취약점 | 제품명 | 영향받는 버전 | 해결 버전 |
| CVE-2026-109618 | PHP 8.2 | 8.2.35 미만 | 8.2.35 이상 |
| CVE-2026-109618 | PHP 8.3 | 19.1.0 ~ 19.1.1 | 8.3.36 이상 |
| CVE-2026-109618 | PHP 8.4 | 8.3.36 미만 | 8.4.27 이상 |
| CVE-2026-109618 | PHP 8.5 | 8.4.27 미만 | 8.5.12 이상 |
| CVE-2026-109619 | PHP 8.2 | 8.2.35 미만 | 8.2.35 이상 |
| CVE-2026-109619 | PHP 8.3 | 8.3.36 미만 | 8.3.36 이상 |
| CVE-2026-109619 | PHP 8.4 | 8.4.27 미만 | 8.4.27 이상 |
| CVE-2026-109619 | PHP 8.5 | 8.5.12 미만 | 8.5.12 이상 |
□ 임시 완화 조치
- CVE-2026-109618
-
파일 업로드가 필요 없는 애플리케이션:
post_max_size = 8M로 설정 -
파일 업로드가 필요한 애플리케이션:
post_max_size = 32M로 설정
세션 업로드 진행률 기능 비활성화 : session.upload_progress.enabled = 0
※ mod_php환경에선 임시 조치도 불가능 하며 근본적으로 해결원할시는 반드시 PHP 공식 보안 패치(버전 업데이트)를 적용