PHP에서 새로운 취약점 CVE-2026-115560 발견

PHP 개발팀은 10월 23일 웹 서버에서 원격으로 코드를 실행할 수 있는 새로운 취약점 CVE-2026-115560에 대해 경고했습니다. 이번 공지는 치명적인 PHP2Shell 취약점에 대한 긴급 패치가 배포된 지 이틀 만에 나왔습니다.

이 문제는 일반적이지 않은 설정을 사용하는 애플리케이션에만 영향을 주기 때문에, 개발자들은 악용 가능성이 낮다고 보고 있습니다. 임시 업데이트는 계획되어 있지 않습니다. 다음 정기 릴리스 전까지 전문가들은 세션 내 파일 업로드 진행 상황 추적 기능(session upload progress)을 비활성화할 것을 권고합니다.

이 취약점은 다음 세 가지 조건이 동시에 충족될 때만 나타납니다. 첫째, session.serialize_handler 매개변수의 값이 php_binary 또는 php_serialize입니다. 둘째, 애플리케이션이 실행 중에 session_start() 호출 이전에 ini_set()으로 이 값을 php로 변경합니다. 셋째, session upload progress 기능이 켜져 있습니다. 이 기능은 기본적으로 활성화되어 있습니다.

보호를 위해서는 애플리케이션 코드가 아닌 서버 설정에서 session.upload_progress.enabled=0을 지정하고 모든 PHP 워커 프로세스를 다시 시작해야 합니다. PHP 팀은 10월 21일에도 PHP2Shell 취약점 중 하나인 CVE-2026-109619에 대한 임시 보호 조치로 보안 공지 GHSA-6wmf-4rv5-p3rp에서 같은 설정을 안내한 바 있습니다. 당시 이 설정을 적용했고 해제하지 않았다면 추가 조치는 필요하지 않습니다. 또한 전문가들은 패치를 설치한 뒤에도 필요하지 않다면 이 기능을 다시 켜지 말 것을 권합니다. 공격자들이 거의 사용되지 않고 충분히 검증되지 않은 이 기능의 허점을 점점 더 적극적으로 찾고 있기 때문입니다.

The Hacker News에 따르면 10월 21일에 출시된 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전은 이 새로운 취약점을 해결하지 않습니다. 수정은 일반적인 릴리스 주기에 따라 이루어질 예정이며, CVE-2026-115560에 관한 전체 보안 공지는 다음 릴리스와 함께 공개됩니다. 영향을 받는 버전, 수정이 포함될 빌드, 위협의 심각도는 아직 밝혀지지 않았습니다. CVE-2026-109619와 관련이 있는지도 알려지지 않았습니다. 실제 공격에서 악용되었다는 보고는 없습니다.

한편 PHP2Shell 취약점인 CVE-2026-109618과 CVE-2026-109619를 악용하려는 시도는 계속되고 있습니다. Amazon의 허니팟은 공개 4일 전인 10월 17일에 이미 시도를 포착했습니다. Cloudflare에 따르면 시도 횟수는 10월 21일 공개 직후 45분 동안 수만 건이었다가 22일 아침에는 수백만 건으로 늘었습니다. Sophos와 Arctic Wolf는 공격자들이 이 취약점을 이용해 Mirai 봇넷 변종을 설치하려 했지만 아직까지 성공하지 못했다고 전했습니다. Previdian, Wordfence 등 여러 업체는 서버에 대한 스캔과 점검만 확인했을 뿐, 코드 실행이 확인된 사례는 없다고 밝혔습니다. 연구자들은 신뢰할 수 있는 익스플로잇을 만드는 일이 예상보다 어렵다고 설명합니다. 이 활동은 10월 21일에 수정된 두 취약점을 겨냥한 것이며 CVE-2026-115560과는 관련이 없습니다.