Wiz와 Calif 정확히 읽기
연구는 요청을 넘어 남는 오류를 설명합니다. CVE-2026-109618은 mod_php RCE를 실증했고 FPM은 소스 분석상 영향으로, 이 CVE의 완전한 FPM 공격 실증은 없습니다. CVE-2026-109619는 앱 의존 FPM upload-progress 경로를 별도로 확인합니다. SAPI별 근거는 각 GHSA에서 확인하세요.
Wiz Research원문 읽기 ↗Calif원문 읽기 ↗업데이트를 배포 점검표로
첫 수정은 8.2.35, 8.3.36, 8.4.27, 8.5.12입니다. 7.4, 8.0, 8.1에는 예외적인 최소 소스 백포트가 있으며 정상 지원이 아닙니다. 공급업체의 두 CVE와 전체 수정 번호를 확인하세요. 이미지를 재빌드하고 모든 복제본을 교체해 상주 프로세스를 재시작하세요. CLI만 보거나 이전 이미지 재시작은 부족합니다.
| PHP 브랜치 | 이 버전 미만의 업스트림 | 최초 수정 버전 | 보안 지원 종료 |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 2029년 12월 31일 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 2028년 12월 31일 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 2027년 12월 31일 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 2026년 12월 31일 |
해당 브랜치의 일반 PHP 릴리스는 없습니다. 7.4, 8.0, 8.1의 최소 소스 백포트가 있으며 공급업체 지원은 별도로 확인해야 합니다. 가이드 읽기 ↗
Foundation과 OpenAI의 시사점
PHP Foundation은 유지보수 자원, Patch the Planet은 검증과 공동 공개를 설명합니다. 호스팅 업체의 패치 증명은 아닙니다. 책임자, 목록, 수정 번호, 재시작 기록과 사후 검증으로 연결하세요. FPM/구버전 설명이 다르면 PHP GHSA와 공급업체 공지가 우선합니다.
PHP Foundation원문 읽기 ↗OpenAI - Patch the Planet원문 읽기 ↗php -v
php --ini
# Check the executable used by the Web service separately.
php-fpm -v
# On versioned installations, for example:
php-fpm8.3 -v일차 출처 및 추가 자료
PHP security team원문 읽기 ↗CVE-2026-109618원문 읽기 ↗CVE-2026-109619원문 읽기 ↗연구 해설과 실용 가이드
PHP2Shell 도구
공개 사이트를 확인하고 로컬 설정과 로그를 검토하거나 공개 대응 도구를 찾으세요. 각 결과는 근거와 한계를 설명합니다.
01PHP2Shell 쉽게 이해하기
PHP는 WordPress, Laravel과 플러그인을 실행하는 엔진입니다. 플러그인 업데이트는 PHP를 업데이트하지 않습니다. 두 메모리 결함은 비정상 요청 정리를 정보 유출이나 코드 실행으로 바꿀 수 있습니다. 공개 확인은 단서만 제공하며 실제 Web 런타임과 패치는 관리자가 확인해야 합니다.
02공격 시도인가, 침입 성공인가?
이상 multipart나 WAF 경고는 시도일 수 있습니다. OOM, SIGSEGV/SIGABRT와 HTTP 500 급증에는 정상 장애 원인도 있습니다. 예기치 않은 PHP 자식 프로세스, 외부 연결, 파일 변경과 계정은 조사해야 합니다. 메모리 유출은 웹셸이나 파일을 남기지 않을 수 있어 깨끗한 파일 검사로 배제할 수 없습니다.
03변경 전 증거 보존
발견 시간, 도메인, 인스턴스, 런타임, 증상과 마지막 신뢰 상태를 기록하세요. 원본 로그와 시간대, 클라우드 감사, 승인된 스냅샷을 보존하고 접근을 제한해 해시를 남기세요. 쿠키, 토큰과 고객 데이터를 공개 스캐너에 보내지 마세요. 보존 전 로그나 의심 파일을 삭제하지 마세요.
04Wiz와 Calif 정확히 읽기
연구는 요청을 넘어 남는 오류를 설명합니다. CVE-2026-109618은 mod_php RCE를 실증했고 FPM은 소스 분석상 영향으로, 이 CVE의 완전한 FPM 공격 실증은 없습니다. CVE-2026-109619는 앱 의존 FPM upload-progress 경로를 별도로 확인합니다. SAPI별 근거는 각 GHSA에서 확인하세요.
05Cloudflare: 응답도 중요함
Cloudflare는 요청과 원본 응답을 결합해 유출 전 의심 응답을 차단하는 방법을 설명합니다. 셸이 없어도 의미가 있습니다. 과거 배포 시간이 내 계정 보호를 보장하지 않으므로 규칙, 경로, 예외와 이벤트를 확인하세요. 직접 원본과 프록시 밖 호스트도 패치해야 합니다.