긴급 보안 공지
PHP2Shell 취약점 무료 점검
PHP에서 인증 없이 원격 코드 실행이 가능한 치명적 취약점 2건(CVE-2026-109618, CVE-2026-109619)이 공개됐습니다. 웹사이트 주소만 입력하면 스틸리언이 PHP2Shell 취약 버전 여부를 바로 확인합니다.
PHP2Shell은 어떤 취약점인가요?
두 취약점 모두 로그인이나 사용자 조작 없이 원격에서 서버 명령을 실행할 수 있어, PHP 보안 권고에서 치명적(Critical) 등급으로 분류됐습니다.
- CriticalCVE-2026-109618
메모리 부족(OOM) 처리 중 손상
요청을 처리하다 메모리 한도에 걸리면 내부 요청 데이터가 덜 초기화된 상태로 남고, 요청 정리 단계가 이를 정상 데이터로 다루면서 코드 실행으로 이어질 수 있습니다. 대용량 multipart 요청으로 유발할 수 있습니다.
- CriticalCVE-2026-109619
해제된 전역 상태 재사용
이전 요청이 남긴 내부 상태가 메모리 해제 뒤에도 남아, 같은 워커가 처리하는 다음 요청이 이를 참조하면서 코드 실행으로 이어질 수 있습니다.
권고 기준으로 Apache mod_php는 두 취약점 모두 직접 영향을 받고, PHP-FPM, LiteSpeed(LSAPI), FrankenPHP도 설정에 따라 영향을 받을 수 있습니다.
영향 버전과 수정 버전
| PHP 버전 | 취약한 버전 | 수정 버전 |
|---|---|---|
| PHP 8.5 | 8.5.12 미만 | 8.5.12 이상 |
| PHP 8.4 | 8.4.27 미만 | 8.4.27 이상 |
| PHP 8.3 | 8.3.36 미만 | 8.3.36 이상 |
| PHP 8.2 | 8.2.35 미만 | 8.2.35 이상 |
| PHP 8.1 이하 | 전체 | 수정 릴리스 없음(지원 종료) |
8.6.0은 RC4부터 수정이 포함됐습니다. PHP 8.2는 2026년 12월 31일 지원이 종료되므로 상위 버전 이전도 함께 계획하세요.
우리 서비스, 버전만으로 안심할 수 있을까요?
스틸리언 화이트해커가 웹과 모바일 서비스 전반의 취약점을 직접 점검하고 조치 방안까지 안내합니다.