본문으로 건너뛰기istheinternetok
모든 사고

보안 결함·치명적

PHP2Shell: PHP의 심각한 취약점 2건

수정본 나옴공격자가 이미 쓰고 있어요웹사이트 운영자에게 영향
PHP

당신에게 달라지는 점

일부 정부 웹사이트가 예방 차원에서 오프라인 상태가 되었습니다.

수많은 웹사이트의 바탕이 되는 언어 PHP가 요청 한 번으로 공격자가 웹 서버를 장악할 수 있는 취약점 2건을 고쳤습니다. 여러 정부가 예방 차원에서 사이트를 내렸습니다. 방문자는 할 일이 없고, 사이트 운영자는 지금 바로 PHP를 업데이트해야 합니다.

시작 2026년 10월 20일업데이트 2026년 10월 23일

X에 게시

어떻게 해야 하나요?

당신
할 일이 없습니다. 일부 정부 사이트는 한동안 접속되지 않을 수 있습니다.
웹사이트나 앱을 운영한다면
PHP를 8.5.12, 8.4.27, 8.3.36 또는 8.2.35로 업데이트하고(또는 사용 중인 배포판의 패치된 패키지로, CVE 번호는 변경 내역에서 확인하세요) 모든 워커를 재시작하세요. PHP 8.1 이하에는 공식 수정이 제공되지 않습니다. session.upload_progress.enabled=0 같은 조치는 위험을 줄일 뿐이며, 완전한 해결은 업데이트뿐입니다.

영향 범위

CVE-2026-109618CVE-2026-109619심각도 점수 9.2점 (10점 만점)

경과

  1. 수정본 나옴 · 2026년 10월 23일

    Cloudflare가 규칙을 관련된 PHP 세션 업로드 진행률 문제인 CVE-2026-115560까지 넓혔습니다.

    Cloudflare

  2. 수정본 나옴 · 2026년 10월 21일

    독일, 핀란드, 벨기에, 네덜란드, 프랑스를 포함한 여러 나라의 정부 웹사이트가 예방 차원에서 내려졌습니다.

    Australian Associated Press

  3. 수정본 나옴 · 2026년 10월 21일

    PHP가 8.5.12, 8.4.27, 8.3.36, 8.2.35를 내놓아 CVE-2026-109618과 CVE-2026-109619를 고쳤습니다. 웹 요청을 처리하는 모든 PHP 설치가 영향을 받으며, Apache mod_php에서 위험이 가장 큽니다.

    php.net

  4. 완화됨 · 2026년 10월 21일

    Cloudflare가 UTC 03:02부터 무료 요금제를 포함한 모든 요금제에서 이 취약점에 대한 WAF 규칙을 켰고, 세부 내용이 유출된 뒤 고객을 노린 공격 트래픽이 나타났다고 보고했습니다.

    Cloudflare

  5. 원인 파악 · 2026년 10월 20일

    PHP가 CVSS v4.0 9.2점의 취약점 2건을 고치는 심각한 보안 릴리스를 10월 21일에 낸다고 예고했습니다.

    php.net

출처

관련