Cloudflare: 응답도 중요함
Cloudflare는 요청과 원본 응답을 결합해 유출 전 의심 응답을 차단하는 방법을 설명합니다. 셸이 없어도 의미가 있습니다. 과거 배포 시간이 내 계정 보호를 보장하지 않으므로 규칙, 경로, 예외와 이벤트를 확인하세요. 직접 원본과 프록시 밖 호스트도 패치해야 합니다.
Cloudflare원문 읽기 ↗Akamai, Imperva와 Unit 42
Akamai는 Adaptive Security Engine 3000991 v1, Unit 42는 Threat ID 543004와 자산 목록, Imperva는 다층 방어를 설명합니다. 제품별 기능으로 범용 WAF 규칙이 아닙니다. 현재 공지, 활성 정책과 실제 경로를 확인하세요. 한 번 차단했다고 이전 시도도 실패한 것은 아닙니다.
Akamai원문 읽기 ↗Imperva원문 읽기 ↗Palo Alto Networks Unit 42원문 읽기 ↗Corelight와 Cisco Talos
Corelight는 Zeek/Suricata를 공개합니다. Potentially_Affected_PHP_Version은 요청/세션 상관과 별도인 자산 단서입니다. HTTP 가시성이 필요하며 일부 임계값은 잠정적입니다. 최신 공지와 비교하세요. Talos는 Snort 67359, 67360, 67375를 제시합니다. 경고나 공개 헤더가 없다고 안전하지는 않습니다.
Corelight원문 읽기 ↗Cisco Talos원문 읽기 ↗엔드포인트 증거의 의미
CrowdStrike는 악용 후 활동에 대한 보호를 설명합니다. PHP 자식 프로세스, 셸, 외부 연결과 지속성을 Web 시간선에 맞추면 조사 근거가 강해집니다. 셸이 없어도 메모리 유출은 배제할 수 없습니다. 제품/발표일을 명시하고 네트워크와 호스트를 함께 보세요.
CrowdStrike원문 읽기 ↗일차 출처 및 추가 자료
PHP security team원문 읽기 ↗CVE-2026-109618원문 읽기 ↗CVE-2026-109619원문 읽기 ↗연구 해설과 실용 가이드
PHP2Shell 도구
공개 사이트를 확인하고 로컬 설정과 로그를 검토하거나 공개 대응 도구를 찾으세요. 각 결과는 근거와 한계를 설명합니다.
01PHP2Shell 쉽게 이해하기
PHP는 WordPress, Laravel과 플러그인을 실행하는 엔진입니다. 플러그인 업데이트는 PHP를 업데이트하지 않습니다. 두 메모리 결함은 비정상 요청 정리를 정보 유출이나 코드 실행으로 바꿀 수 있습니다. 공개 확인은 단서만 제공하며 실제 Web 런타임과 패치는 관리자가 확인해야 합니다.
02공격 시도인가, 침입 성공인가?
이상 multipart나 WAF 경고는 시도일 수 있습니다. OOM, SIGSEGV/SIGABRT와 HTTP 500 급증에는 정상 장애 원인도 있습니다. 예기치 않은 PHP 자식 프로세스, 외부 연결, 파일 변경과 계정은 조사해야 합니다. 메모리 유출은 웹셸이나 파일을 남기지 않을 수 있어 깨끗한 파일 검사로 배제할 수 없습니다.
03변경 전 증거 보존
발견 시간, 도메인, 인스턴스, 런타임, 증상과 마지막 신뢰 상태를 기록하세요. 원본 로그와 시간대, 클라우드 감사, 승인된 스냅샷을 보존하고 접근을 제한해 해시를 남기세요. 쿠키, 토큰과 고객 데이터를 공개 스캐너에 보내지 마세요. 보존 전 로그나 의심 파일을 삭제하지 마세요.
04Wiz와 Calif 정확히 읽기
연구는 요청을 넘어 남는 오류를 설명합니다. CVE-2026-109618은 mod_php RCE를 실증했고 FPM은 소스 분석상 영향으로, 이 CVE의 완전한 FPM 공격 실증은 없습니다. CVE-2026-109619는 앱 의존 FPM upload-progress 경로를 별도로 확인합니다. SAPI별 근거는 각 GHSA에서 확인하세요.
05Cloudflare: 응답도 중요함
Cloudflare는 요청과 원본 응답을 결합해 유출 전 의심 응답을 차단하는 방법을 설명합니다. 셸이 없어도 의미가 있습니다. 과거 배포 시간이 내 계정 보호를 보장하지 않으므로 규칙, 경로, 예외와 이벤트를 확인하세요. 직접 원본과 프록시 밖 호스트도 패치해야 합니다.