KR — 전자신문
PHP 신규 취약점 발견…KISA, 파일 업로드 추적 기능 차단 권고
보안2분 읽기
PHP 프로그래밍 언어에서 새로운 보안 구멍(취약점)이 발견됐습니다. 이 구멍을 악용하면 공격자가 웹서버에 원격으로 명령을 실행할 수 있어, 한국인터넷진흥원(KISA)이 임시 보안 조치를 권고했습니다.
무슨 일이 있었나
KISA는 24일 '보호나라'를 통해 PHP의 새로운 취약점(CVE-2026-115560)에 대한 보안 권고문을 냈습니다. 이 취약점은 이미 배포된 보안 업데이트로는 해결되지 않습니다. 그래서 KISA는 업데이트가 나오기 전까지 임시 조치를 하라고 안내했습니다.
핵심 숫자와 사실
- 새 취약점 번호: CVE-2026-115560
- 앞서 발견된 치명적 취약점은 2건(CVE-2026-109618, CVE-2026-109619)이며, PHP 개발팀이 21일 보안 업데이트를 긴급 배포했습니다.
- 21일 배포된 업데이트 버전: 8.5.12, 8.4.27, 8.3.36, 8.2.35
- 권고 발표일: 24일 (기사 보도일: 25일)
배경 설명
PHP는 웹사이트와 웹서비스를 만들 때 널리 쓰이는 언어입니다. 이번 취약점은 사용자의 접속 상태를 저장하는 '세션'을 처리하는 과정에서 생깁니다. 모든 PHP 서버가 위험한 것은 아닙니다. 로그인 정보 처리 방식이 서로 다르고, 파일 업로드 진행 상황을 기록하는 기능까지 켜져 있을 때만 생깁니다. PHP 개발팀은 실제 서비스에서 이런 설정 조합이 쓰일 가능성이 낮다고 설명했습니다.
해야 할 임시 조치
- PHP 설정에서 'session.upload_progress.enabled' 값을 0으로 바꾸기
- 값을 바꾼 뒤 모든 PHP 작업 프로세스 다시 시작하기
- PHP2Shell 대응 때 같은 설정을 이미 했다면 추가 조치는 필요 없음
- 기존 취약점 2건은 최신 보안 업데이트를 따로 적용하기
왜 중요한가
공격에 성공하면 웹셸을 깔아 서버를 원격으로 조종할 수 있습니다. 고객 정보가 새거나 홈페이지가 바뀌고, 회사 내부망까지 들어갈 수 있습니다. PHP를 직접 관리하지 않는 회사도 호스팅 업체나 솔루션 공급사에 보안 조치를 했는지 꼭 물어봐야 합니다.
용어 풀이
- KISA
- 한국인터넷진흥원. 인터넷 보안을 지키고 보안 권고를 내는 정부 산하 기관입니다.
- PHP
- 웹사이트와 웹서비스를 만들 때 많이 쓰는 프로그래밍 언어입니다.
- 취약점
- 프로그램에서 공격자가 악용할 수 있는 약한 부분, 즉 보안 구멍입니다.
- 웹셸
- 공격자가 서버에 몰래 심어 원격으로 서버를 조종하는 프로그램입니다.
- 세션
- 웹사이트가 사용자의 접속 상태(예: 로그인 상태)를 기억해 두는 방법입니다.
- 보호나라
- KISA가 보안 위협과 대응 정보를 알리는 웹사이트입니다.