팔로우 PHP가 두 가지 중요한 취약점을 해결하는 주기 외 릴리스를 발표한 후 PHP 관리자들은 긴급 보안 업데이트를 직면하고 있습니다. 보안 연구원들에 의해 CVE-2026-109618 및 CVE-2026-109619로 추적된 이 취약점들은 각각 PHP 보안 팀으로부터 CVSS v4.0 점수 9.2를 받았습니다. watchTowr의 연구원들은 두 문제 모두 원격 코드 실행 취약점이라고 설명합니다.
긴급 릴리스는 2026년 10월 21일 14:00 UTC에 예정되어 있습니다. PHP는 협력된 릴리스 날짜 이전에 취약점 관련 정보가 누출된 후 공개를 앞당겼습니다. 작성 시점에서 PHP는 취약한 구성요소, 이용 요구사항, 영향을 받은 릴리스 또는 기술적 근본 원인을 공개하지 않았으며, 이러한 세부 사항은 보안 업데이트에 포함될 것이라고 전했습니다.
연구원들은 이 취약점 쌍을 비공식적으로 “PHP2Shell”이라고 명명했으나, 이는 PHP 프로젝트에서 제공된 이름은 아닙니다. 초기 누출은 취약점이 PHP 5부터 시작되는 PHP 릴리스에 영향을 줄 수 있고 CVSS 10.0 점수가 부여되었다고 주장했습니다. 그러나 PHP의 공식 등급은 9.2이며, 이 주장된 버전 범위는 공식 공급업체 자문에 의해 아직 확인되지 않았습니다.
잠재적인 영향은 여전히 중요합니다. PHP는 방대한 수의 웹사이트, 웹 애플리케이션, 콘텐츠 관리 시스템, 전자상거래 플랫폼, API, 호스팅 패널 및 맞춤형 기업 서비스를 구동합니다. 일반적으로 배포된 구성에서 원격 코드 실행이 확인되면, 성공적인 악용은 공격자에게 노출된 웹 애플리케이션에서 서버 수준 탈취로의 직접 경로를 제공할 수 있습니다.
CVE-2026-109618 탐지 기회를 찾고 있는 보안 팀들은 악용 특정 서명이 제공되지 않는 동안 행동 기반 모니터링을 우선시해야 합니다. 의심스러운 활동에는 PHP 또는 웹 서버 프로세스가 예상치 못한 셸, 인터프리터, 명령 행 유틸리티 또는 다운로드 도구를 실행하는 경우가 포함됩니다.
SOC Prime 고객은 AI-Native Detection Intelligence Platform을 활용하여 취약점 악용 및 관련 사후 손상 행동에 대한 지속적으로 업데이트되는 탐지 콘텐츠에 액세스할 수 있습니다. 탐지 규칙은 여러 SIEM, EDR 및 데이터 레이크 환경에 걸쳐 적용 가능하며 MITRE ATT&CK® 프레임워크와 정렬할 수 있습니다.
클릭 탐지 탐색 신흥 취약점에 대한 관련 SOC 콘텐츠에 액세스하려면 CVE-2026-109619 및 관련 악용 시도를 탐지하기 위해 방어자들은 행동 분석과 함께 웹 서버, 엔드포인트 및 네트워크 텔레메트리를 결합하여 기술적 정보가 제공됨에 따라 이를 사용해야 합니다.
보안 팀은 또한 프라임 아키텍트를 사용하여 신흥 취약점 정보를 시그마 규칙과 맞춤 사냥 쿼리로 변환하고, 탐지 논리를 검증하며, 잠재적인 공격 흐름을 시각화하고, 지원되는 보안 플랫폼 간에 탐지 콘텐츠를 신속하게 번역할 수 있습니다.
CVE-2026-109618 및 CVE-2026-109619 분석
2026년 10월 20일, PHP 보안팀은 두 가지 중요한 취약점이 익일의 예외 보안 릴리스에서 해결될 것이라는 사전 경고를 발표했습니다. 두 취약점 모두 CVSS v4.0 등급 9.2를 받았으며, 관리자들은 즉각 업그레이드를 준비하라는 요청을 받았습니다. PHP는 또한 기술 정보가 공개되거나 활성 악용이 감지되면 수정을 조기에 출시할 옵션을 예약했습니다.
이 발표는 두 개의 금지된 취약점에 관한 정보 누출 이후에 나왔습니다. 누출된 자료는 CVE-2026-109618 및 CVE-2026-109619를 확인하고, 두 취약점을 원격 코드 실행 결함으로 설명했습니다. 이후 watchTowr는 BleepingComputer에 취약점이 실제이며 연구자들이 그 중 하나를 성공적으로 재현했다고 믿는다고 확인했습니다.
그러나 누출된 정보와 PHP가 공식적으로 확인한 내용 사이에는 중요한 차이가 있습니다.
PHP는 두 취약점 모두 9.2의 CVSS v4.0 점수를 부여했으며, 유출에서 유통된 CVSS 10.0 등급과 다릅니다. PHP는 또한 어떤 브랜치가 취약한지, 악용이 특정 PHP 배포 모델 또는 구성을 요구하는지, 또는 인증이 필요한지 확인하지 않았습니다.
CVE-2026-109618이 PHP 버전 5, 6, 7 및 8에 영향을 미친다는 주장은 연구자와 누출된 정보에서 나온 것이지 PHP의 공식 자문에서 온 것은 아닙니다. watchTowr 자체가 이 범위가 공급업체에 의해 아직 확인되지 않았음을 언급합니다.
따라서 CVE-2026-109618 분석은 확인된 사실과 예비 연구를 구분해야 합니다. 현재 확인된 것은 PHP가 두 가지 취약점을 중요한 것으로 간주하고, 두 취약점 모두 9.2 등급을 부여했으며, 이 위험이 비정기 보안 릴리스를 통해 긴급히 해결될 필요가 있다고 믿는다는 것입니다. 연구원들은 이 결함을 RCE 취약점으로 설명하지만, 이들의 기본 메커니즘은 아직 금지되어 있습니다.
이 구분은 레거시 PHP 환경을 평가할 때도 중요합니다. PHP 프로젝트는 현재 8.2부터 8.5까지 지원되는 브랜치에 대해서만 보안 업데이트를 제공합니다. PHP 8.2와 8.3은 보안 수정 사항을 받고 있으며, 8.4와 8.5는 여전히 적극적인 지원을 받고 있습니다. PHP 8.1, 8.0, PHP 7.x, 및 PHP 5.x를 포함한 오래된 브랜치는 수명이 끝났으며, 궁극적으로 취약성이 입증되더라도 상위 패치는 제공되지 않습니다.
이는 특히 이전 애플리케이션을 운영하는 조직에게는 어려운 복구 시나리오를 만들 수 있습니다. 인터넷에 직접 연결된 레거시 PHP 시스템은 보고된 광범위한 버전 노출이 확인되면 중대한 우려 사항을 나타낼 것입니다.
작성 시점에서 공개된 CVE-2026-109618 PoC는 제공되지 않았습니다. watchTowr는 이 문제가 성공적으로 재현되었다고 믿지만, 보안 패치가 제공될 때까지 기술 정보를 의도적으로 보류하고 있다고 밝혔습니다. Huntress도 취약점을 재현하지 않았으며, 공개적으로 이용 가능한 악용 코드에 대해 알지 못했습니다.
보고서에 인용된 연구자들은 10월 21일 현재까지 활성 악용을 관찰하지 못했습니다. 또한 취약점은 The Hacker News 보고서 당시 CISA의 알려진 악용 취약점 목록에 포함되어 있지 않았습니다.
결과적으로, CVE-2026-109619 IOCs는 아직 게시되지 않았습니다. 현재로서는 이 취약점 악용과 직접적으로 관련된 악성 IP 주소, 도메인, 페이로드 해시, 악용 요청 패턴, 또는 기타 캠페인 특정 지표는 확인되지 않았습니다.
악용 세부 사항이 제공될 때까지 방어자들은 대신 PHP 서버 손상의 일반적인 징후를 모니터링해야 합니다. 고가치 행동은 php-fpm, php-cgi, httpd, 또는 apache2가 예기치 않은 실행 파일인 셸, 스크립트 엔진, 다운로드 유틸리티 등을 실행하는 경우를 포함합니다. 새로운 웹 셸, 웹 루트의 설명되지 않은 수정, 크론 작업, 예약된 작업, 새로 생성된 계정, 이례적인 아웃바운드 연결도 조사를 촉발해야 합니다.
정확한 CVE-2026-109619 세부 사항은 취약한 PHP 구성요소, 공격 전제조건, 영향을 받은 브랜치, 구성 의존성, 수정된 버전을 PHP가 보안 릴리스를 게시한 후 명확히 할 것으로 기대합니다.
CVE-2026-109618 및 CVE-2026-109619 완화
PHP 관리자는 먼저 환경 내 모든 PHP 배포에 대한 정확한 인벤토리를 구성해야 합니다. 여기에는 전통적인 Linux 및 Windows 웹 서버뿐만 아니라, 가전제품, 타사 애플리케이션, 호스팅 플랫폼 및 cPanel 또는 Plesk와 같은 관리자 제품에 삽입된 PHP 런타임도 포함됩니다.
즉각적인 CVE-2026-109619 완화를 위해 조직은 패치된 릴리스가 제공되는 즉시 PHP의 긴급 보안 업데이트를 배포할 준비를 해야 합니다. 인터넷에 직접 연결된 애플리케이션은 원격으로 접속할 수 있는 시스템이 일반적으로 악용의 기회를 가장 많이 제공하므로 최우선적으로 수리해야 합니다.
배포별로 제공되는 PHP 패키지를 사용하는 조직은 상위 PHP 버전 번호만으로 노출 정도를 판단하기보다는, 자신의 Linux 공급업체 또는 호스팅 제공업체에서 백포트된 보안 업데이트를 확인해야 합니다.
레거시 PHP 설치에는 특별한 주의가 필요합니다. 공식 패치가 제공되지 않는 EOL PHP 릴리스가 취약한 애플리케이션을 실행하는 경우, 조직은 지원되는 브랜치로의 마이그레이션을 우선시해야 합니다. 즉각적인 마이그레이션이 불가능한 경우, 외부 액세스를 제한하거나 애플리케이션을 적절한 네트워크 제어 뒤에 배치하거나 시스템을 일시적으로 격리함으로써 노출을 줄여야 합니다.
The Hacker News에서 참조한 CERT-EU 지침은 즉각적으로 해결책을 적용할 수 없는 경우 공공 네트워크로부터 인터넷에 연결된 애플리케이션의 격리를 고려할 것을 권장합니다.
방어자들은 또한 PHP 실행 주변 모니터링을 강화해야 합니다. PHP 워커나 웹 서버 프로세스가 애플리케이션에 예상치 않은 셸, PowerShell, Bash, Python, Perl, curl, wget, 또는 기타 프로그램을 실행할 때 경고를 발령해야 합니다.
악용이 의심될 경우, 영향을 받은 서버를 격리하고 수리 전에 증거를 보존해야 합니다. 관련 아티팩트에는 다음이 포함됩니다.
- 웹 서버 액세스 및 오류 로그
- PHP 애플리케이션 및 런타임 로그
- 엔드포인트 및 프로세스 텔레메트리
- 최근 생성되거나 수정된 파일
- 웹 루트 콘텐츠
- 크론 작업 및 예약된 작업
- 새로 생성된 계정 또는 SSH 키
- 아웃바운드 네트워크 연결
- 인증 및 관리 활동
보안 팀은 또한 기술적 지표가 공개된 후 회고 적으로 사냥해야 합니다. 악용 특정 HTTP 요청 패턴이나 페이로드 특성이 공개되면, 역사적인 웹 및 프록시 텔레메트리가 패치가 적용되기 전에 발생한 손상 시도를 식별할 수 있습니다.
조직은 패칭의 영구적인 대체물로서 단독으로 WAF에 의존하는 것을 피해야 합니다. 기술적 근본 원인이 공개되기 전까지는, 두 취약점을 악용 기구를 알지 못한 상태에서 신뢰할 수 있게 차단할 수 있는 확인된 일반 WAF 규칙은 없습니다.
SOC Prime의 AI-Native Detection Intelligence Platform을 활용함으로써, 보안 팀은 이러한 PHP 취약점에 대한 새로운 정보가 나타남에 따라 지속적으로 탐지 태세를 강화할 수 있습니다.
면책 사항: 모든 CVE에 대해 탐지 콘텐츠가 제공되는 것은 아닙니다. SOC Prime 플랫폼에서 현재 커버리지를 확인하세요. 관련 탐지가 아직 제공되지 않은 경우, 새로운 위협 정보 및 탐지 콘텐츠가 지속적으로 추가되므로 후속 체크하세요.
FAQ
CVE-2026-109618 및 CVE-2026-109619란 무엇이며, 그것은 어떻게 작동합니까?
CVE-2026-109618 및 CVE-2026-109619는 watchTowr의 연구원들이 원격 코드 실행 결함으로 설명하는 두 가지 중요한 PHP 취약점입니다. PHP는 CVSS v4.0 점수 9.2를 가진 두 가지 중요한 문제를 공식적으로 확인했지만, 아직 그 기술적 근본 원인이나 악용 메커니즘을 공개하지 않았습니다. 작성 시점에서 정확한 공격 흐름을 신뢰할 수 있게 설명하는 것은 불가능합니다. PHP는 긴급 보안 릴리스를 통해 기술 정보를 게시할 것으로 기대됩니다.
CVE-2026-109618 및 CVE-2026-109619는 언제 처음 발견되었습니까?
취약점에 대한 정보는 두 개의 금박 브랜드 PHP 취약점의 세부 사항이 계획된 공개 이전에 유출되었다고 보고된 후 2026년 10월 20일에 공개되었습니다. PHP는 그 날 나중에 공식 사전 경고를 발행하고, 2026년 10월 21일 14:00 UTC에 긴급 보안 릴리스를 발표했습니다.
CVE-2026-109618 및 CVE-2026-109619의 시스템에 대한 영향은 무엇입니까?
보안 연구원들은 두 취약점을 원격 코드 실행 문제로 설명했습니다. PHP가 그 평가를 확인할 경우, 성공적인 악용은 잠재적으로 공격자가 코드를 취약한 PHP 서버에서 실행하고, 서비스의 권한에 따라 악성 코드 배포, 자격 증명 탈취, 지속성, 횡적 이동 또는 데이터 액세스를 진행할 수 있게 할 수 있습니다. PHP는 아직 정확한 악용 조건을 공개하지 않았으므로 정확한 영향 및 전제 조건은 곧 다가올 공급업체 자문에 따라 다를 것입니다.
CVE-2026-109618 및 CVE-2026-109619가 2026년에 여전히 영향을 미칠 수 있습니까?
네. 작성 시점 2026년 10월 21일, 긴급 보안 릴리스는 14:00 UTC에 예정되어 있으며, 현재 배포된 릴리스에서 취약점은 아직 패치되지 않았습니다. 연구원들은 PHP 5부터 시작된 PHP 버전이 영향을 받을 수 있다고 주장했지만, PHP는 이 버전 범위를 공식적으로 확인하지 않았습니다. 조직은 모든 배포를 인벤토리하고 다가올 공급업체 자문을 사용하여 실제 노출을 판단해야 합니다.
CVE-2026-109618 및 CVE-2026-109619로부터 어떻게 보호할 수 있습니까?
릴리스되자마자 PHP 보안 업데이트를 설치할 준비를 하세요, 특히 인터넷에 연결된 서버를 우선적으로 처리하십시오. 애플리케이션 및 가전제품과 함께 번들된 런타임을 포함하여 PHP 설치를 인벤토리하고, 수명이 다한 브랜치를 실행하는 시스템을 식별하세요. 수정 배포가 이루어질 때까지 비정상적인 PHP 하위 프로세스 및 서버 측 명령 실행에 대한 모니터링을 강화하십시오. 즉시 패치할 수 없는 시스템은 외부 노출을 줄이거나, 운영적으로 가능하다면 일시적으로 격리해야 합니다. 의심스러운 활동이 발견되면 서버를 격리하고, 조사에 사용할 웹, PHP, 엔드포인트 및 네트워크 텔레메트를 보존하십시오.
