Theori Releases Emergency Response Guide for PHP Engine Vulnerability 'PHP2Shell'

This page was machine-translated and may differ from the original. View original

Theori Releases Emergency Response Guide for PHP Engine Vulnerability 'PHP2Shell'

Published2026.10.22 10:49

CVSS 9.2 최고 위험도, 인증 없이 원격 코드 실행 가능 즉각 패치 권고

PHP 엔진 자체 결함으로 인한 고위험 취약점 ‘PHP2Shell’이 공개된 가운데, 사이버 보안 기업 티오리(Theori)가 자체 검증을 마치고 기업·기관 대상 긴급 대응 가이드를 내놓았다. 해당 취약점은 애플리케이션 코드와 무관하게 서버 전체를 위협할 수 있어 신속한 패치 적용이 요구된다.

티오리는 22일 PHP 엔진의 보안 취약점 ‘PHP2Shell(CVE-2026-109618, CVE-2026-109,619)’에 대한 재현·검증을 완료하고 대응 가이드를 공개했다고 밝혔다.

이 취약점은 CVSS v4.0 기준 9.2점(Critical)으로 분류되며, 공격자가 별도 인증 없이 원격에서 임의 코드를 실행하거나 프로세스 메모리를 탈취할 수 있다.

PHP2Shell은 웹 애플리케이션 구현 코드가 아닌 PHP 엔진 자체의 결함에서 비롯된다.

공식 보안 권고 발표 이전에 개념증명(PoC) 시연 영상과 패치 바이너리가 유출됐으며, 이를 기반으로 한 PoC 코드가 빠르게 확산 중이다.

티오리 연구팀은 공격 코드를 직접 재현하는 과정에서 유사 익스플로잇(Exploit)의 추가 생성·유포도 시간문제라고 분석했다.

영향을 받는 버전은 △PHP 8.2.34 이하 △PHP 8.3.35 이하 △PHP 8.4.26 이하 △PHP 8.5.11 이하이며, 지원이 종료된 PHP 8.1 이하(7.x, 5.x 포함) 전 버전도 포함된다.

PHP 측은 보안 패치 버전인 8.2.35·8.3.36·8.4.27·8.5.12 이상으로 즉시 업데이트할 것을 권고하고 있다.

티오리는 즉각적인 PHP 업데이트가 어려운 환경을 위해 임시 완화 조치 방안도 제시했다.

다만 임시 조치는 세션 기능 오류 등 부작용이 발생할 수 있고 완전한 방어를 보장하지 않는다고 밝혔다.

티오리 AI & Cyber Research팀 임준오 수석 연구원은 “PHP2Shell은 애플리케이션 코드와 무관하게 서버 전체를 위험에 빠뜨릴 수 있는 취약점”이라며 “PoC가 빠르게 퍼지는 만큼 OS 배포판별 패치 여부를 즉시 확인해 최신 버전으로 업데이트하고, 패치 전까지는 티오리가 공개한 임시 완화책과 점검 스크립트를 활용해 침해 여부를 확인해야 한다”고 말했다.

세부 메커니즘과 설정 확인 스크립트, 상세 대응 가이드는 Xint 공식 기술 블로그(xint.io)에서 확인할 수 있다.

#사이버보안 #보안 취약점 #PHP2Shell #CVE-2026-109618 #CVE-2026-109619 #PHP 엔진 #원격 코드 실행 #CVSS 9.2

To request a correction, reply or follow-up report on this article, see how to file a request. Previously published statements are collected in corrections & replies.