PHP2Shell이란?
PHP2Shell은 PHP 자체의 메모리 결함 CVE-2026-109618과 CVE-2026-109619를 말하며 둘 다 CVSS v4.0 9.2입니다. 미인증 코드 실행과 메모리 유출이 입증되었습니다. 2026년 10월 21일 수정되었으며 특정 CMS만의 문제가 아닙니다.
어떤 환경을 확인하나요?
FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed 등 모든 Web 설치를 업데이트하세요. WordPress, Drupal, Joomla, MediaWiki, Laravel과 자체 앱도 해당합니다. 관리 인터페이스, 장비, 테스트 환경과 컨테이너를 포함하세요. 앱 업데이트는 PHP를 교체하지 않습니다.
FPM은 제외되나요?
아닙니다. FPM은 요청 시작 실패 시 자식 프로세스를 종료해 일부 초기 경로를 막지만 앱 실행 및 교차 요청 경로는 남습니다. 모든 환경이 mod_php와 동일하지 않으며 FPM도 패치해야 합니다.
PHP 8.1 이하
일반 PHP 릴리스는 없습니다. 7.4·8.0·8.1 최소 소스 백포트는 예외이며 빌드와 검증은 운영자 책임입니다. OS·LTS 공급업체가 패키지를 유지할 수 있습니다. 연구 범위는 5.4부터 조건별로 다릅니다. 이전을 준비하고 임시 패치를 검증하세요.
PHP2Shell 쉽게 이해하기
PHP는 WordPress, Laravel과 플러그인을 실행하는 엔진입니다. 플러그인 업데이트는 PHP를 업데이트하지 않습니다. 두 메모리 결함은 비정상 요청 정리를 정보 유출이나 코드 실행으로 바꿀 수 있습니다. 공개 확인은 단서만 제공하며 실제 Web 런타임과 패치는 관리자가 확인해야 합니다.
PHP2Shell 도구 →PHP 실행 환경별 근거
| 실행 환경 | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE 입증됨 | RCE 입증됨 |
| PHP-FPM | 앱에 따라 위험이 있으며 이 CVE의 완전한 FPM 공격은 미입증 | 적절한 앱 경로를 통한 RCE 입증됨 |
php-cgi, FrankenPHP, LiteSpeed도 업데이트하세요. PHP는 모든 Web 설치의 업데이트를 권고합니다. 표는 입증된 경로와 일반 노출을 구분합니다.