전 세계 웹사이트를 위협한 'PHP2Shell' 취약점에 이어 새로운 보안 결함이 추가 발견됐다. 기존에 배포된 보안 업데이트로는 해결되지 않는 원격 코드 실행 취약점으로 한국인터넷진흥원(KISA)이 임시 보안조치를 권고했다.
25일 업계에 따르면 KISA는 지난 24일 보호나라를 통해 PHP 신규 취약점(CVE-2026-115560)에 대한 보안 권고문을 발표했다.
PHP는 웹사이트와 웹서비스 개발에 널리 사용되는 프로그래밍 언어다.
앞서 PHP에서는 로그인이나 별도 인증 없이 외부에서 서버에 악성 명령을 실행할 수 있는 치명적인 취약점 2건(CVE-2026-109618·CVE-2026-109619)이 발견됐다. 공격에 성공하면 웹셸 설치를 통한 서버 원격 제어와 고객정보 유출, 홈페이지 변조, 내부망 침투 등이 가능하다.
PHP 개발팀은 지난 21일 취약점 2건을 해결하기 위해 버전별 보안 업데이트를 긴급 배포했다.
이번에 추가로 발견된 취약점은 앞선 2건과 별개다. PHP가 이용자의 접속 정보를 유지하는 세션을 처리하는 과정에서 발생한다. 공격자가 취약점을 악용하면 서버에서 원격으로 코드를 실행할 수 있다.
모든 PHP 서버가 영향을 받는 것은 아니다. PHP가 로그인 상태 등 이용자 정보를 저장하고 읽어들이는 과정에서 서로 다른 처리 방식을 사용하고, 파일 업로드 진행 상황을 기록하는 기능까지 활성화된 경우에만 취약점이 발생한다.
PHP 개발팀은 실제 운영 환경에서 이러한 설정 조합이 사용될 가능성이 낮다고 설명했다. 이에 긴급 보안 업데이트 대신 다음 정기 업데이트에서 취약점을 해결할 예정이다.
문제는 지난 21일 배포된 보안 업데이트(8.5.12·8.4.27·8.3.36·8.2.35)를 적용했더라도 신규 취약점은 해결되지 않는다는 점이다.
KISA는 보안 업데이트가 나오기 전까지 PHP 설정에서 파일 업로드 진행 상황 추적 기능인 'session.upload_progress.enabled' 값을 0으로 변경하고, 모든 PHP 작업 프로세스를 재시작하도록 권고했다.
PHP2Shell 취약점 대응 과정에서 동일한 설정을 적용했다면 추가 조치는 필요하지 않다.
다만 기존 취약점 2건에 대해서는 별도로 최신 보안 업데이트를 적용해야 한다.
KISA는 PHP를 직접 관리하지 않는 기업에도 호스팅 업체나 솔루션 공급사를 통해 보안조치 적용 여부를 확인하도록 안내하고 있다.
박진형 기자 jin@etnews.com
