PHP2Shell 세 번째 버그 발견, 하지만 긴급 패치는 없음

무슨 일이 있었나

PHP2Shell이라는 큰 보안 문제가 이미 알려져 있는 가운데, 연구자들이 세 번째 취약점을 찾았습니다. PHP 재단은 이 문제에 CVE-2026-115560이라는 번호를 붙였습니다. 이 취약점도 원격 코드 실행(RCE)이 가능하지만, 실제로 일어날 가능성은 매우 낮다고 밝혔습니다. 그래서 다음 정기 업데이트 때 고칠 예정입니다.

핵심 숫자와 사실

• 세 번째 취약점 번호: CVE-2026-115560
• 앞선 두 취약점: CVE-2026-109618, CVE-2026-109619 (합쳐서 PHP2Shell)
• PHP는 서버 쪽 언어 중 약 70%의 웹사이트에서 사용됩니다
• 앞의 두 취약점은 수요일에 공개되고 패치되었습니다
• 확인된 성공적인 해킹 사례는 아직 없습니다

조금 더 알아보기

PHP는 웹사이트를 만들 때 서버에서 돌아가는 프로그램을 짜는 데 쓰는 오픈소스 언어입니다. 이번 문제는 메모리 안전성 결함과 관련이 있습니다. 메모리 안전성 결함이란 컴퓨터가 데이터를 저장하는 공간을 잘못 다뤄서, 공격자가 틈을 노릴 수 있는 약점을 말합니다. 이 세 번째 문제는 특정 설정과 특정 앱 코드가 함께 있을 때만 생기므로 실제 사용에서는 드물다고 합니다. 임시 대책으로 설정값 session.upload_progress.enabled를 0으로 두라는 안내가 나왔습니다.

왜 중요한가

웹사이트 대부분이 PHP로 돌아가기 때문에 보안 구멍 하나가 많은 서비스에 영향을 줄 수 있습니다. 이번 세 번째 문제는 위험도가 앞의 두 문제보다 낮지만, 설정을 잘못 쓰는 곳은 여전히 공격을 받을 수 있습니다. 그래서 관리자는 설정을 확인하고 최신 버전으로 업데이트하는 것이 중요합니다.

앞으로 지켜볼 점

• 다음 정기 PHP 업데이트에서 세 번째 취약점이 실제로 고쳐지는지
• 공격 시도가 실제 성공 사례로 이어지는지
• 여러 보안 연구자와 기관이 올리는 추가 분석