PHP2Shell - PHP RCE 취약점(CVE-2026 -109618 / CVE - 2026 -109619)

■ PHP2Shell (CVE-2026-109618 / CVE-2026-109619)

PHP에서 인증 없이 원격으로 서버에 임의의 코드를 실행할 수 있는 두 취약점이 공개되었으며, CVE-2026-109618 / CVE-2026-109619(통칭 PHP2Shell)로 명명됐습니다. 해당 취약점은 다음 버전이 영향을 받습니다.

📌PHP
- 8.5.0 ~ 8.5.11
- 8.4.0 ~ 8.4.26
- 8.3.0 ~ 8.3.35
- 8.2.0 ~ 8.2.34
- 8.1 이하 전 버전

PHP는 요청 하나를 처리하다 허용된 메모리를 모두 써 버리면 처리를 그 자리에서 멈추는데, 이때 뒷정리를 마치지 못해 처리 도중이던 손상된 데이터가 서버 프로그램 안에 그대로 남습니다. 웹 서버는 요청마다 프로그램을 새로 띄우지 않고 같은 프로그램으로 여러 요청을 이어서 처리하기 때문에, 공격자는 조작된 파일 업로드 요청으로 이 손상된 상태를 남긴 뒤 다음 요청에서 되살려 서버 메모리를 오염시킬 수 있습니다. 이 과정은 로그인이나 별도 권한 없이 가능하며, 공격에 성공하면 웹 서버 권한으로 임의의 명령이 실행되어 웹사이트 데이터 유출이나 서버 장악으로 이어질 수 있습니다.

해당 취약점은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12에서 수정되었으며, 취약한 버전은 수정된 버전 이상으로 업그레이드하는 것을 권장합니다. 지원이 종료된 8.1 이하 버전은 공식 패치가 제공되지 않으므로 지원되는 버전으로 업그레이드해야 합니다.

SK쉴더스 화이트해커 그룹 EQST의 최신 보안 인사이트가 담긴 EQST insight 전문이 궁금하다면, ‘더 알아보기’를 클릭해보세요!

👉 더 알아보기: https://www.skshieldus.com/report/eqstInsight/rt2610.html

✅EQST(이큐스트)는 ‘Experts, Qualified Security Team’ 이라는 뜻으로 사이버 위협 분석 및 연구 분야에서 검증된 최고 수준의 보안 전문가 그룹입니다.