FatLeon 구매

블로그

내 AWS 계정에서 운영하는 내 스토어.

심각한 PHP 결함: 알아야 할 것

10/23/202629 조회수
securityphp

PHP2Shell, CVE-2026-109618과 CVE-2026-109619는 패치되지 않은 PHP 워커에서 로그인 없이 코드를 실행할 수 있습니다. 수정 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다.

최종 업데이트: 2026년 10월 23일

PHP의 두 가지 심각한 결함인 CVE-2026-109618과 CVE-2026-109619는 PHP2Shell이라고 불립니다. 원격 호출자는 로그인하지 않고도 영향을 받는 PHP 워커에서 코드를 실행할 수 있습니다.

PHP는 웹에서 널리 쓰이는 서버 측 언어이며, 서버 측 언어가 알려진 사이트 가운데 약 70%로 자주 추정됩니다. 온라인 스토어, 회사 사이트, WordPress가 여기에 포함됩니다. 실제로 미치는 범위는 그 사이트와 해당 PHP 프로세스가 읽을 수 있는 파일이며, 인터넷의 모든 컴퓨터를 여는 열쇠는 아닙니다.

영향 범위를 짧게 설명하는 영상입니다.

1. 무슨 일이 있었나

PHP 프로젝트는 2026년 10월 21일 긴급 릴리스를 냈습니다. 조율된 공개는 10월 22일을 목표로 했으나, 세부 내용이 먼저 퍼지면서 수정이 앞당겨졌습니다.

두 문제 모두 요청 처리 안에 있습니다. 하나는 PHP가 요청을 구성하는 동안 메모리가 바닥나, 이후 정리가 끝나지 않은 상태를 건드릴 때입니다. 다른 하나는 치명적 오류가 정리를 끊고 오래된 포인터를 남길 때입니다. 공격자에게 사이트 계정은 필요 없습니다.

PHP 프로젝트는 Apache와 mod_php 조합을 위험이 가장 큰 배포로 봅니다. PHP-FPM, php-cgi, FrankenPHP, LiteSpeed도 영향을 받습니다. 안정적으로 악용되는지는 프로세스 배치에 달려 있지만, 인증 없는 코드 실행이 각 업체가 고치고 있는 문제입니다.

2. 어떤 버전을 업데이트하나

완전한 수정은 패치된 PHP로 올리는 것입니다. 올린 뒤 PHP 워커를 재시작해, 트래픽을 처리하는 바이너리가 새 것이 되게 하십시오.

  • PHP 8.5: 8.5.12에서 수정. 영향을 받는 빌드는 8.5.0부터 8.5.11까지입니다.
  • PHP 8.4: 8.4.27에서 수정. 영향을 받는 빌드는 8.4.0부터 8.4.26까지입니다.
  • PHP 8.3: 8.3.36에서 수정. 영향을 받는 빌드는 8.3.0부터 8.3.35까지입니다.
  • PHP 8.2: 8.2.35에서 수정. 영향을 받는 빌드는 8.2.0부터 8.2.34까지입니다.

PHP 8.1 이하, 7.x, 그리고 그 계열의 5.4 이후에는 CVE-2026-109618에 대한 업스트림 바이너리가 없습니다. 일부 Linux 업체는 자체 패키지를 냈습니다. 인터넷에 열린 서버가 지원이 끝난 PHP에 남아 있고 오늘 업체 수정을 적용할 수 없다면, 패치된 릴리스로 옮길 수 있을 때까지 그 사이트를 오프라인으로 두십시오.

AWS, Red Hat, Ubuntu는 각자 안내를 발표했습니다. NSA가 운영자에게 패치를 서두르라고 경고했다는 보도도 있습니다. 설정 변경은 업그레이드를 대신하지 않습니다.

3. 어떻게 발견되었나

OpenAI의 Patch the Planet이 이번 대응에 참여했습니다. Calif는 GPT-5.6 Sol로 결함 중 하나를 찾았습니다. Wiz도 문제를 독립적으로 보고했습니다. 수정과 릴리스는 PHP 메인테이너가 이끌었습니다.

세부 내용이 먼저 새어 나와, 원래 공개일이 아니라 긴급 패치가 되었습니다. 내용이 공개되자 패치되지 않은 서버를 찾는 검색이 시작되었습니다.

4. 지금 할 일

  • 8.5.12, 8.4.27, 8.3.36 또는 8.2.35로 올리거나, Linux 업체 또는 호스팅 업체의 패치 패키지를 적용하고 PHP를 재시작하십시오.
  • PHP가 실행되는 곳을 모두 확인하십시오. 상점을 위해 설치한 버전만이 아니라 장비와 PHP를 포함한 소프트웨어도 포함됩니다.
  • 서버가 PHP 8.1 이하이고 업체 패키지가 없다면, 이전을 준비하는 동안 공개 인터넷에 그대로 두지 마십시오.

PHP 플러그인을 쌓아 둔 상점은 이런 날을 다시 맞습니다. 패치가 첫 일인 것은 같습니다. 그다음은 다음 긴급 상황이 같은 모양이 되지 않게 하는 일입니다.

5. FatLeon Commerce

FatLeon Commerce는 독점 소스 코드이며, 자신의 AWS 계정에 배포합니다. 이 상점은 PHP에서 돌지 않습니다. 이번 PHP 릴리스가 이것을 고치지 않으며, 이 결함도 그 안에 없습니다.

코드베이스는 하나, 라이선스는 둘입니다. 구매는 한 번입니다. Paddle.com이 기록상 판매자입니다.

ZIP 안의 라이선스 파일이 사용을 정합니다. 주문 문의는 info@fatleon.com으로 보내십시오.