CVE-2026-115560: 새로운 미패치 PHP RCE 위험, 즉시 조치 필요

PHP가 CVE-2026-115560이라는 새로운 원격 코드 실행 위험을 공개했습니다. 이는 PHP 세션 구성과 런타임 동작의 비정상적인 조합을 사용하는 웹 애플리케이션에 영향을 미칩니다. 이 문제는 PHP가 CVE-2026-109618 및 CVE-2026-109619 같은 중요한 PHP2Shell 취약점에 대한 긴급 수정 프로그램을 배포한 지 불과 이틀 후인 2026년 10월 23일에 공개되었습니다.

이전의 취약점들과 달리, CVE-2026-115560은 또 다른 긴급 PHP 배포를 트리거하지 않았습니다. PHP 보안 팀은 이러한 취약한 구성이 일반적인 배포에서는 드문 경우라고 판단하며, 이를 다음 정기적 버그 수정 주기에 해결할 계획입니다. 그때까지 관리자는 취약한 구성의 가능성이 있는 경우 PHP의 세션 업로드 진행 기능을 비활성화할 것을 권장합니다.

이 새로운 취약점은 또한 중요합니다. 왜냐하면 앞서 두 개의 PHP2Shell 결함을 수정한 배포인 8.5.12, 8.4.27, 8.3.36 또는 8.2.35를 설치해도 not CVE-2026-115560을 해결할 수 없기 때문입니다. 완전히 업데이트된 시스템이라도 애플리케이션이 특정 구성 전제 조건을 충족하면 여전히 노출될 수 있습니다.

CVE-2026-115560 탐지 기회를 찾고 있는 보안 팀은 PHP 세션 처리, 비정상적인 멀티파트 업로드, 세션 직렬화 동작의 예기치 않은 변경, PHP 또는 웹 서버 작업자에서 생성된 의심스러운 자식 프로세스에 대한 가시성을 우선해야 합니다.

SOC Prime의 AI-네이티브 탐지 인텔리전스 플랫폼은 보안 팀이 SIEM, EDR 및 데이터 레이크 환경 전반에 걸쳐 새로운 취약점 악용 및 관련 포스트 침해 행동에 대한 대비를 강화할 수 있게 합니다.

클릭하여 탐지를 확인하십시오. 관련 탐지 콘텐츠 및 사냥 논리 액세스를 받기 위해. CVE-2026-115560을 탐지하려면 방어자는 PHP 구성 평가를 웹, 엔드포인트, 애플리케이션 및 역방향 프록시 원격 측정과 결합해야 하며, 공급업체 패치가 아직 사용할 수 없을 때까지 필요합니다.

보안 실무자들은 또한 Prime Architect를 활용하여 새로 공개된 취약점 인텔리전스를 Sigma 규칙 및 사냥 쿼리로 변환하고, 탐지 논리를 검증하며, 지원되는 보안 플랫폼 전반에 걸쳐 관련 탐지를 번역할 수 있습니다.

영업팀에 문의하십시오.

CVE-2026-115560 분석

PHP는 10월 23일, 세션 직렬화 및 세션 업로드 진행 기능 간의 잠재적으로 악용될 수 있는 상호작용을 설명하는 정보 고지를 발행하였습니다.

PHP 보안 팀에 따르면, 문제가 발생하기 전에 애플리케이션은 여러 특정 조건을 충족해야 합니다:

• session.serialize_handler는 처음에 php_binary 또는 php_serialize로 구성되어야 합니다.
• 애플리케이션 코드는 이후 ini_set()을 사용하여 런타임에서 핸들러를 php로 변경해야 합니다.
• 그 변경은 session_start()가 호출되기 전에 발생해야 합니다.
• session.upload_progress.enabled는 활성 상태로 남아 있어야 합니다.

런타임 중에 직렬화 핸들러를 절대 전환하지 않는 애플리케이션은 이 구체적인 경로를 통해 노출되지 않으며 세션 업로드 진행을 계속 사용할 수 있습니다. PHP는 이를 드문 조합이라고 설명합니다.

이 구별은 이전의 CVE-2026-109618 및 CVE-2026-109619와 비교하여 공격 표면을 상당히 좁힙니다. 이전의 PHP2Shell 취약점은 웹 서버를 위한 PHP 설치 전반에 영향을 미쳤으며 긴급 업데이트가 필요했습니다. CVE-2026-115560은 대신 애플리케이션 별 구성과 코드 동작에 따라 다릅니다.

CVE-2026-115560에 대한 상세한 내용은 의도적으로 제한되어 있습니다. PHP는 아직 기술적인 근본 원인, 정확한 취약 버전 범위, CVSS 점수 또는 궁극적으로 RCE 조건을 생성하는 특정 내부 메모리 또는 세션 상태 전환을 공개하지 않았습니다. 공급업체는 다음 정기 배포와 함께 해당 세부 사항을 포함할 것이라고 합니다.

공개된 사전 조건을 기반으로 볼 때, 이 취약점은 PHP의 업로드 진행 메커니즘이 활성화되어 있을 때 애플리케이션이 요청 처리 동안 직렬화 포맷을 변경할 때의 일관되지 않은 세션 데이터 처리와 관련이 있는 것으로 보입니다. 그러나 정확한 악용 방식은 PHP가 공식적으로 공개한 내용을 넘어서는 추측으로 해석되어서는 안 됩니다.

CVE-2026-115560은 취약한 구성 패턴을 충족하는 애플리케이션에 영향을 주며, 여기에는 10월 21일 PHP2Shell 수정을 포함한 완전한 패치를 적용한 PHP 릴리스를 실행하는 애플리케이션도 포함됩니다. PHP는 문제의 근본적인 결함을 포함하는 PHP 브랜치나 이전 릴리스를 아직 명시하지 않았습니다.

이것은 관리자가 설치된 PHP 버전만으로 노출 여부를 판단해서는 안 된다는 것을 의미합니다. 대신, 그들은 애플리케이션 및 서버 구성을 평가해야 합니다.

유용한 첫 번째 단계는 세션 업로드 진행이 활성화되어 있는지 확인하는 것입니다:

session.upload_progress.enabled=1

관리자는 또한 사용된 ini_set()을 호출하여 session.serialize_handler를 수정하는 애플리케이션 코드를 식별해야 하며, 특히 php_binary 또는 php_serialize에서 php로 전환되는 전환을 식별해야 합니다.

새로운 결함은 CVE-2026-109619와 별개의 것이지만 완화 방안이 겹칠 수 있습니다. 세션 업로드 진행 비활성화는 원래 PHP2Shell 취약점 중 하나에 대한 위험 감소 조치로 이미 권장되었습니다. 10월 21일 긴급 업데이트 이후 이 설정을 비활성화 상태로 유지한 조직은 PHP에 따르면 새로 공개된 경로에 대해 이미 보호를 받고 있습니다.

현재, PHP 또는 두 곳에서 제공한 보고서에서 문서화된 CVE-2026-115560의 PoC는 없습니다. 보안 팀은 또한 공개 권고만으로는 취약점을 신뢰할 수 있게 재현할 수 있을 만큼 기술 정보를 충분히 공개하지 않았습니다.

이는 이전의 PHP2Shell 결함과는 현저히 다릅니다. 과거 다양한 PoC 시도와 악용 활동이 공개된 주위에 발생했습니다. 이러한 공격은 새로운 취약점에 대해 속하지 않아야 합니다.

2026년 10월 26일 현재 CVE-2026-115560의 악용 사례는 보고되지 않았습니다. 해커 뉴스는 지속적으로 진행되는 PHP2Shell 스캔 및 악용 시도를 이 새로운 취약점과 구별하여, 관찰된 활동이 CVE-2026-109618 및 CVE-2026-109619를 목표로 한다고 언급합니다.

따라서, CVE-2026-115560 IOC는 악성 IP 주소, 도메인, 해시, 페이로드 또는 확인된 악용 요청 패턴이 현재로서는 제공되지 않습니다.

보다 많은 기술적인 세부 사항이 드러나기 전까지는, 방어자들은 다음과 같은 행동 및 구성 기반 지표에 중점을 두어야 합니다:

• PHP 애플리케이션이 실행 중에 session.serialize_handler를 변경하는 경우
• 사용자 정의 세션 로직이 있는 애플리케이션에서 세션 업로드 진행이 활성 상태인 경우
• PHP 세션을 처리하는 애플리케이션으로의 예기치 않은 멀티파트 POST 트래픽
• PHP-FPM, php-cgi, Apache 또는 다른 PHP 서비스를 제공하는 프로세스가 셸이나 스크립트 해석기를 생성하는 경우
• PHP 작업자에서의 예기치 않은 아웃바운드 네트워크 연결
• 웹 루트 또는 쓰기 가능한 애플리케이션 디렉토리 내부에 새로 생성된 파일
• 세션 파일 또는 세션 저장소에 대한 비정상적인 변경
• PHP 서비스 계정에 의해 생성된 웹 셸, 예약 작업 또는 비인가된 지속성

애플리케이션 개발자는 사용자 정의 세션 처리 로직을 검토해야 합니다. 프레임워크 확장, 레거시 애플리케이션, 내부 플랫폼 또는 맞춤형 인증 시스템은 간단한 PHP 배포보다는 직렬화 설정을 동적으로 수정할 가능성이 더 높습니다.

이 공개는 이미 활성화된 PHP 악용 활동이 발생하는 동안 이루어졌습니다. 원래 PHP2Shell 취약점은 10월 21일 패치되었으며, 이후 여러 보안 회사들이 널리 퍼진 탐색 및 악용 시도를 관찰했습니다. 그러나 PHP 및 보안 연구자들은 이들 캠페인을 CVE-2026-115560과 연결하지 않았습니다.

CVE-2026-115560 완화

PHP는 현재 직접적인 방어 조치로 한 가지를 권장합니다:

session.upload_progress.enabled=0

관리자는 php.ini, PHP-FPM 풀 구성, Apache 구성 또는 요청 처리 전에 적용되는 서버 수준 메커니즘을 통해 설정을 적용해야 합니다.

CVE-2026-109619를 완화하는 동안 기능을 비활성화하고 유지한 조직은 이 취약점에 대한 추가적인 구성 변경이 필요하지 않습니다.

설정을 변경한 후, PHP 작업자 및 관련 웹 서비스를 다시 시작하여 기존 프로세스가 업데이트된 구성을 로드하도록 하십시오. 환경에 따라 PHP-FPM 풀, Apache 작업자, 컨테이너 또는 기타 PHP 애플리케이션 런타임 프로세스를 다시 시작해야 할 수도 있습니다.

관리자는 모든 곳에서 중앙 php.ini 값이 적용된다고 가정하기보다는 PHP 구성 검사를 통해 설정이 효과적인지 확인할 수 있습니다. PHP 배포는 자주 다음과 같은 설정을 결합합니다:

• 전역 php.ini
• conf.d 파일
• PHP-FPM 풀 구성
• Apache 지시문
• 컨테이너 특정 구성
• 애플리케이션 수준 .user.ini
• ini_set()에 대한 런타임 호출

가장 중요한 노출 평가는 애플리케이션 특정입니다. 특히 다음과 같은 패턴과 관련하여 런타임에서 세션 직렬화를수정하는 애플리케이션 소스 코드를 검색하십시오:

ini_set(‘session.serialize_handler’, ‘php’)

애플리케이션 시작 전에 php_binary 또는 php_serialize에서 php로 직렬화를 변경하지 않는 애플리케이션은 PHP가 공개한 취약한 시나리오와 일치하지 않습니다.

조직은 여전히 10월 21일 PHP2Shell 보안 업데이트를 유지해야 합니다. 업로드 진행 비활성화는 새로 식별된 경로를 주소화하지만 CVE-2026-109618 및 CVE-2026-109619에 대한 긴급 수정판을 대체하지는 않습니다.

따라서 지원 설치는 최소한 다음에 머물러 있어야 합니다:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

이러한 릴리스는 앞선 PHP2Shell 문제를 해결하지만, 새로 공개된 취약점은 해결하지 않습니다.

보안 팀은 지원되지 않는 PHP 설치도 목록에 올려야 합니다. PHP 8.1 및 이전 릴리스는 더 이상 정기적인 상위 보안 업데이트를 받지 않으며, 최종 CVE 권고가 발표되면 레거시 환경을 운영하는 조직은 완전한 노출을 판단하기 어려울 수 있습니다.

세션 업로드 진행 비활성화가 운영적으로 불가능한 경우, 조직은 먼저 애플리케이션이 실제로 직렬화 핸들러를 동적으로 변경하는지 확인해야 합니다. PHP는 런타임 전환을 절대 수행하지 않는 애플리케이션이 세션 업로드 진행을 활성 상태로 유지할 수 있다고 명확히 명시합니다.

추가적인 안전 장치로, 방어자는 다음을 수행할 수 있습니다:

• 민감한 PHP 애플리케이션에 대한 외부 접근을 제한합니다.
• 불필요한 파일 업로드 엔드포인트 주위에 제한적인 역방향 프록시 규칙을 적용합니다.
• PHP 세션과 관련된 멀티파트 요청을 모니터링합니다.
• 비정상적인 PHP 작업자 자식 프로세스에 대한 경고를 설정합니다.
• PHP-FPM 및 웹 서버 계정에 최소 권한을 적용합니다.
• PHP 서비스가 가능한 실행 가능한 디렉토리에 쓰지 못하도록 방지합니다.
• 웹 애플리케이션 워크로드로부터의 아웃바운드 연결성을 제한합니다.
• 웹 루트 및 임시 디렉토리에서 승인되지 않은 파일 생성 여부를 모니터링합니다.

AWS는 PHP 세션 식별자와 PHP_SESSION_UPLOAD_PROGRESS 필드를 결합한 POST 요청을 차단할 수 있는 WAF 규칙이 또 다른 방어 레이어를 제공할 수 있다고 지적합니다. 이는 즉시 구성 변경이 불가능한 환경에서 고려해야 할 방어 심층으로 여겨져야 하며, PHP의 권장 구성 변경을 대체하는 것이 아닙니다.

PHP가 영구적인 수정이 포함된 정기적인 버그 수정 업데이트를 배포한 후, 조직은 임시 완화가 이미 활성화되어 있더라도 이를 즉시 배포해야 합니다.

패치 후, 관리자는 애플리케이션 요구 사항에 따라 세션 업로드 진행을 다시 활성화할 필요가 있는지 결정할 수 있습니다.

악용이 의심되는 경우, 영향을 받는 애플리케이션 서버를 격리하고 웹, PHP, 역방향 프록시, 엔드포인트 및 네트워크 원격 측정을 보존하십시오. 쓰기 가능한 디렉토리에서 웹 셸 또는 새로 생성된 파일을 검토하고, PHP 자식 프로세스를 검사하며, 손상된 서비스에 접근할 수 있는 자격 증명 또는 비밀을 식별하십시오.

성공적인 악용은 PHP 작업자의 권한으로 코드 실행을 초래할 수 있으므로, 대응자는 관련 애플리케이션 자격 증명, 데이터베이스 비밀, API 토큰, 클라우드 키 및 기타 민감 정보를 교체해야 하며, 손상된 경우 이들을 제외할 수 없습니다.

면책 조항: 모든 CVE에 대해 탐지 콘텐츠가 제공되지는 않을 수 있습니다. SOC Prime 플랫폼에서 현재 커버리지를 확인하십시오. 관련 탐지가 아직 제공되지 않은 경우, 새로운 위협 인텔리전스 및 탐지 콘텐츠가 지속적으로 추가되므로 다시 확인하십시오.