Reddit

PHP Warns of Another Unpatched RCE Two Days After Emergency PHP2Shell Patches

PHP, 긴급 PHP2Shell 패치 이틀 만에 추가 미패치 RCE 경고

PHP가 특정한 세션 설정 조합에서 발생하는 추가 원격 코드 실행(RCE) 경로를 공개했습니다. 영향 범위가 좁아 긴급 패치 대신 session.upload_progress 비활성화를 권고했으며, 앞서 PHP2Shell 대응으로 같은 설정을 껐다면 추가 조치는 필요하지 않습니다.

에디터 노트

이번 취약점의 대응 부담은 앞선 PHP2Shell 취약점보다 작습니다. 취약 조건이 특정한 설정 조합으로 한정되고 임시 조치도 이전 권고와 같아 이미 적용한 운영자는 설정을 유지하면 됩니다. 다만 PHP가 영향 버전과 수정 릴리스 일정을 아직 밝히지 않아 실제 점검 범위는 애플리케이션별 설정 확인에 달려 있습니다. 댓글에서 제시한 serialize_handler 검색과 웹 SAPI 설정 확인은 조건을 점검하는 구체적인 방법입니다. 한편 공유 호스팅처럼 사용자가 설정을 바꾸는 환경에서는 위험이 커질 수 있다는 의견도 나왔지만, 이는 댓글의 우려이며 PHP가 확인한 영향 범위는 제한된 설정 조합입니다. 잦은 보안 패치에 대응하려면 배포 속도와 테스트 시간의 균형이 운영 과제로 남습니다.

AI 요약

PHP가 긴급 PHP2Shell 패치를 배포한 지 이틀 만에 별도의 원격 코드 실행(RCE) 취약점 CVE-2026-115560을 알렸습니다. PHP는 위험에 노출되는 설정이 드물다고 보고 긴급 수정판 대신 다음 정기 버그 수정 릴리스에서 고치겠다고 밝혔습니다.

취약 조건과 임시 조치

취약점은 애플리케이션이 설정 파일에서 session.serialize_handler를 php_binary 또는 php_serialize로 지정한 뒤, session_start()를 호출하기 전에 ini_set()으로 php로 바꾸는 경우에 발생할 수 있습니다. 여기에 기본 활성화 상태인 세션 업로드 진행률 기능도 켜져 있어야 합니다. 실행 중 serialize handler를 바꾸지 않는 애플리케이션은 이 경로에 노출되지 않습니다. PHP는 session.upload_progress.enabled=0으로 설정하라고 권고했습니다. 이는 10월 21일 CVE-2026-109619 대응 권고와 같은 조치입니다. 당시 설정을 적용했다면 그대로 유지하면 됩니다.

PHP2Shell과 악용 동향

CVE-2026-115560은 10월 21일 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35에서 수정한 PHP2Shell 취약점 두 건과 별개이며, 해당 패치로 해결되지 않습니다. PHP는 영향을 받는 버전과 수정 릴리스, 심각도 점수를 아직 공개하지 않았고 두 취약점의 근본 원인이 같은지도 밝히지 않았습니다. 새 취약점의 악용 사례는 보고되지 않았습니다. 앞선 PHP2Shell 취약점은 공개 전부터 공격 시도가 있었고, Cloudflare는 공개 후 시도가 수만 건에서 수백만 건으로 늘었다고 전했습니다. Mirai 변종 설치 시도도 있었지만 확인된 코드 실행은 없었습니다.

Reddit 반응

  • @spin81 — 이런 설정 조합이 드물다는 PHP의 판단에 동의합니다.
  • @st3venb — 사용자가 직접 설정할 수 있는 공유 호스팅에서는 문제가 될 수 있지만, 일반적인 기업 환경에서는 해당하지 않을 가능성이 큽니다.
  • @ar_e_art — 조건은 세 가지가 동시에 필요합니다. 설정 파일의 serialize_handler 값, 실행 중 ini_set()으로 php로 변경하는 동작, 업로드 진행률 기능 활성화입니다. serialize_handler 사용처를 설정과 코드, vendor 디렉터리에서 검색하면 해당 조합인지 확인할 수 있습니다. php -i 대신 FPM이나 mod_php 등 웹 SAPI에서 설정을 확인해야 합니다. CLI가 다른 php.ini를 읽는 경우가 있기 때문입니다.
  • @LordCornish — PHP2Shell 완화 지침을 따랐다면 새 취약점에 필요한 임시 조치도 이미 적용한 셈입니다.
  • @caffeine-junkie — 패치를 더 빠르고 불규칙한 일정으로 적용하려면 경영진이 테스트 기간 단축과 배포 중 장애 가능성을 받아들여야 합니다.
  • @uzlonewolf — 잘못된 패치로 인한 중단도 RCE 악용으로 고객 데이터베이스를 통째로 탈취당하는 것보다는 낫습니다.
  • @s_sam01 — 오래된 PHP 버전에서 8로 올리려면 사이트 수정이 필요할 수 있어 일부 사이트가 대응 시간을 벌려고 내려갔습니다.

원문: The Hacker News / 번역·요약: Trawling

원문 보기 ↗토론 보기 ↗