CVE-2026-109618CVSS 9.2
메모리 부족에 따른 손상
CVE-2026-109618은 OOM 조기 종료 후 부분 초기화 메모리가 정리 단계에서 쓰이는 문제입니다. 패치는 소프트·하드 메모리 처리를 도입합니다. mod_php에서 완전한 RCE를 확인했습니다. FPM은 앱 경로에 따라 위험하지만 이 CVE의 완전한 FPM 실증은 보고되지 않았습니다.
가이드 읽기 ↗독립 PHP 보안 도구
PHP를 확인하세요.근거에 따라 업데이트하세요.
정확한 버전에서 명확한 답을 찾으세요. PHP2Shell 수정 기준을 확인하고 환경에 맞는 다음 단계를 찾을 수 있습니다.
입력한 내용은 이 브라우저 안에서만 처리됩니다.
PHP는 세계 최고의 언어
9.2/10심각도: 치명적CVSS v4.0
02관련 취약점CVE-2026-109618 / 109619
04수정된 브랜치PHP 8.2 → 8.5
18지원 언어EN / 中文 / 日本語 / …
01 / 버전 위험 확인
버전 하나부터 전체 서버까지.
PHP 버전, php -v 출력 또는 한 줄에 버전 하나를 붙여 넣으세요. 버전을 비교하며 취약점을 공격하지 않습니다.
버전 평가
JSON 다운로드 ↓PHP2SHELL / FRAMEWORK / CMS
프레임워크와 CMS의 PHP2Shell 해결 가이드
프레임워크, 블로그, 쇼핑몰의 PHP2Shell을 해결하세요. 실제 PHP, 앱 호환성과 업그레이드 장애를 확인하고 CVE-2026-109618 및 CVE-2026-109619 패치를 검증합니다.
PHP2SHELL / PHP2Shell 도구
연구 해설과 실용 가이드
공개 사이트를 확인하고 로컬 설정과 로그를 검토하거나 공개 대응 도구를 찾으세요. 각 결과는 근거와 한계를 설명합니다.
>_
PHP2Shell 도구
공개 사이트를 확인하고 로컬 설정과 로그를 검토하거나 공개 대응 도구를 찾으세요. 각 결과는 근거와 한계를 설명합니다.
01PHP2Shell 쉽게 이해하기
PHP는 WordPress, Laravel과 플러그인을 실행하는 엔진입니다. 플러그인 업데이트는 PHP를 업데이트하지 않습니다. 두 메모리 결함은 비정상 요청 정리를 정보 유출이나 코드 실행으로 바꿀 수 있습니다. 공개 확인은 단서만 제공하며 실제 Web 런타임과 패치는 관리자가 확인해야 합니다.
02공격 시도인가, 침입 성공인가?
이상 multipart나 WAF 경고는 시도일 수 있습니다. OOM, SIGSEGV/SIGABRT와 HTTP 500 급증에는 정상 장애 원인도 있습니다. 예기치 않은 PHP 자식 프로세스, 외부 연결, 파일 변경과 계정은 조사해야 합니다. 메모리 유출은 웹셸이나 파일을 남기지 않을 수 있어 깨끗한 파일 검사로 배제할 수 없습니다.
03변경 전 증거 보존
발견 시간, 도메인, 인스턴스, 런타임, 증상과 마지막 신뢰 상태를 기록하세요. 원본 로그와 시간대, 클라우드 감사, 승인된 스냅샷을 보존하고 접근을 제한해 해시를 남기세요. 쿠키, 토큰과 고객 데이터를 공개 스캐너에 보내지 마세요. 보존 전 로그나 의심 파일을 삭제하지 마세요.
04Wiz와 Calif 정확히 읽기
연구는 요청을 넘어 남는 오류를 설명합니다. CVE-2026-109618은 mod_php RCE를 실증했고 FPM은 소스 분석상 영향으로, 이 CVE의 완전한 FPM 공격 실증은 없습니다. CVE-2026-109619는 앱 의존 FPM upload-progress 경로를 별도로 확인합니다. SAPI별 근거는 각 GHSA에서 확인하세요.
05Cloudflare: 응답도 중요함
Cloudflare는 요청과 원본 응답을 결합해 유출 전 의심 응답을 차단하는 방법을 설명합니다. 셸이 없어도 의미가 있습니다. 과거 배포 시간이 내 계정 보호를 보장하지 않으므로 규칙, 경로, 예외와 이벤트를 확인하세요. 직접 원본과 프록시 밖 호스트도 패치해야 합니다.
02 / 패치 기준
네 개의 브랜치. 명확한 업데이트 목표.
PHP 보안팀이 2026년 10월 21일 공개했습니다. 같은 브랜치 안에서 비교하세요.
PHP.net ↗
| PHP 브랜치 | 이 버전 미만의 업스트림 | 최초 수정 버전 | 보안 지원 종료 |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 2029년 12월 31일 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 2028년 12월 31일 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 2027년 12월 31일 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 2026년 12월 31일 |
PHP 8.1 이하를 사용하시나요?
해당 브랜치의 일반 PHP 릴리스는 없습니다. 7.4, 8.0, 8.1의 최소 소스 백포트가 있으며 공급업체 지원은 별도로 확인해야 합니다. 가이드 읽기 ↗
03 / 확인에서 수정까지
업무로 돌아가는 실용적인 절차.
01
식별
모든 PHP 런타임, 패키지 출처 및 사이트 핸들러를 찾으세요.
02
업데이트
수정된 빌드 또는 문서화된 공급업체 백포트를 설치하세요.
03
재시작 및 검증
실행 중인 워커를 교체하고 모든 인스턴스를 검증하세요.
PHP2SHELL / CVE
런타임의 두 결함. 긴급 업데이트 한 번.
PHP2Shell은 PHP 자체의 메모리 안전성 결함입니다. 애플리케이션이 최신이어도 인터프리터는 패치되지 않았을 수 있습니다.
CVE-2026-109619CVSS 9.2
요청 사이의 잔여 상태
CVE-2026-109619는 해제된 요청 메모리 참조가 워커에 남는 문제입니다. 같은 워커의 다음 요청이 초기화 전에 사용할 수 있습니다. PHP 8.5 치명 오류 역추적과 세션 업로드 진행률 경로가 확인되었습니다. mod_php와 적절한 앱 경로의 FPM에서 RCE가 검증되었습니다.
가이드 읽기 ↗FPM은 제외되나요?
아닙니다. FPM은 요청 시작 실패 시 자식 프로세스를 종료해 일부 초기 경로를 막지만 앱 실행 및 교차 요청 경로는 남습니다. 모든 환경이 mod_php와 동일하지 않으며 FPM도 패치해야 합니다.
배포판 백포트
Ubuntu, Debian, 기업용 Linux는 원래 번호를 유지한 채 패치를 넣을 수 있습니다. 8.3.6 배너만으로 판단하지 마세요. OS, 저장소, 아키텍처와 전체 리비전을 두 CVE의 공급업체 기록에 맞춰 확인하세요. 이 사이트는 패키지 수정 기준을 추측하지 않습니다.
PHP 8.1 이하
일반 PHP 릴리스는 없습니다. 7.4·8.0·8.1 최소 소스 백포트는 예외이며 빌드와 검증은 운영자 책임입니다. OS·LTS 공급업체가 패키지를 유지할 수 있습니다. 연구 범위는 5.4부터 조건별로 다릅니다. 이전을 준비하고 임시 패치를 검증하세요.
임시 조치는 불완전합니다
전체 패치만 모든 변형을 해결합니다. 설정은 업로드·성능·가용성에 영향을 줄 수 있습니다. 요청 분석 전에 관리자 설정으로 적용하고 전체 워커를 재시작하세요. 두 권고문을 함께 읽으세요. CDN과 WAF는 수정 증거가 아닙니다.
PHP2SHELL CHECKER
버전 확인하기다음 단계는 수정된 런타임입니다.
버전부터 시작하고 근거를 확인한 다음 실제 사이트를 처리하는 워커를 검증하세요.