CVE-2026-109618 및 CVE-2026-109619: PHP2Shell RCE 취약점

요약

PHP에 대한 두 가지 중요한 원격 코드 실행 취약점(CVE-2026-109618 및 CVE-2026-109619)이 공식 발표 전에 온라인에 유출되었습니다. 이러한 취약점은 공격자가 취약한 웹 서버에서 임의의 명령을 실행할 수 있도록 할 수 있습니다. 이 취약점은 여러 PHP 릴리스를 포함해 지원이 종료된 버전까지 영향을 미칠 수 있습니다.

조사

watchTowr의 연구원들은 이러한 취약점을 확인하고 CVE-2026-109618을 성공적으로 재현했습니다. Huntress도 공개 상황을 모니터링하고 악용 가능성을 평가하며, 보고 당시 파트너 환경에서 실제 공격이 관찰되지 않았음을 확인했습니다. 하지만 PHP의 광범위한 사용으로 인해 위험은 여전히 큽니다. 연구원들은 PHP 프로세스가 비정상적인 자식 프로세스를 생성하는 등 일반적인 악용 지표에 초점을 맞췄습니다.

완화 조치

조직은 모든 PHP 배포를 즉시 조사하고, 서드파티 벤더 소프트웨어의 인스턴스를 포함해야 합니다. 관리자는 10월 21일에 공식 PHP 보안 패치가 릴리스되면 이를 신속히 적용할 준비가 되어 있어야 합니다. 수정되지 않을 수 있는 지원이 종료된 PHP 버전을 실행하는 시스템은 인터넷에서 격리하거나 VPN 또는 웹 애플리케이션 방화벽(WAF) 뒤에 보호되어야 합니다.

대응

PHP 프로세스가 셸, 인터프리터 또는 네트워킹 유틸리티를 실행하는 등의 의심스러운 활동이 감지되면 관리자는 즉시 영향을 받은 서버를 격리해야 합니다. 포렌식 조사를 위해 웹 서버 및 PHP 로그를 보존하는 것이 중요합니다. 보안 팀은 웹 루트에서 새로 생성된 웹 쉘, 승인되지 않은 파일, 의심스러운 크론 작업, 예정된 작업 또는 새로 추가된 사용자 계정이 있는지 검사해야 합니다.

시뮬레이션 실행

• 공격 서사 및 명령: 공격자는 PHP-FPM을 실행하는 웹 애플리케이션의 취약점을 성공적으로 악용했습니다. 거점을 마련하고 정찰을 시작하기 위해 공격자는 시스템 명령을 실행하는 PHP 스크립트를 사용합니다. 공격자의 목표는 현재 사용자 컨텍스트를 식별하여 추가적인 횡적 이동을 위한 권한 수준을 결정하는 것입니다. 공격자는 whoami 를 php-fpm 프로세스를 통해 실행하며, 이는 탐지 규칙의 Image|endswith: 'whoami' 에 의해 탐지되어야 합니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # PHP RCE 탐지 규칙을 유발하는 시뮬레이션 스크립트.
  # 이 스크립트는 PHP-FPM 프로세스가 정찰 명령을 실행하는 것을 시뮬레이션합니다.
  
  # 1. 부모 프로세스를 시뮬레이션할 수 있는지 확인합니다.
  # 실제 환경에서는 php-fpm 데몬입니다.
  # 시뮬레이션을 위해, 우리는 서브셸을 사용하여 동작을 모방합니다.
  
  echo "[+] 시뮬레이션 시작: PHP-FPM RCE 탐지 유발..."
  
  # 'sudo -u www-data'를 사용해 웹 사용자를 모방하고,
  # 실행을 래핑하여 자식 프로세스 관계를 모방합니다.
  # 참고: 'ParentImage|endswith: php-fpm'과 완벽히 일치하려면,
  # 테스트는 php-fpm이 활성화된 시스템에서 실행되어야 합니다.
  
  # php-fpm이 실행되지 않으면 직접 실행을 통해 동작을 모방합니다:
  # 실제 실험실에서는 실제 PHP 파일에 대한 웹 요청을 통해 이를 유발합니다.
  
  # 유발 명령: whoami
  # 규칙에서 예상되는 프로세스 트리 관계를 시뮬레이션합니다.
  # php-fpm이 없는 상태에서는 쉽게 '변모'할 수 없기 때문에,
  # '자식'의 정보가 있는지를 보장하기 위해 명령을 실행합니다.
  
  # 실제 테스트 명령 (php-fpm 실행 필요):
  # php-fpm-cli-simulated-trigger
  # 이 스크립트를 위해서는 타겟 바이너리를 실행합니다:
  whoami
  
  echo "[+] 시뮬레이션 명령이 실행되었습니다. PHP에 의해 유발된 'whoami'의 SIEM을 확인하세요."

• 정리 명령:

  # 이 시뮬레이션에서는 영구 파일이 생성되지 않았습니다.
  # 시뮬레이션의 흔적을 지우기 위해 셸 기록을 지웁니다.
  history -c
  echo "[+] 정리 완료."