PHP2Shell 취약점, 패치 전 웹방화벽은 어떻게 대응하나

PHP2Shell은 인증 없이 악성 HTTP 요청을 보내 서버에서 코드를 실행할 수 있는 PHP 취약점이다.

CVE-2026-109618과 CVE-2026-109619 두 건을 함께 부르는 이름으로, PHP-FPM과 Apache mod_php 등 웹 요청을 처리하는 PHP 환경이 영향을 받는다.

취약 버전 범위는 PHP 5.4부터 PHP 8까지이며, PHP 개발팀은 CVSS v4.0 기준 위험도를 9.2점으로 평가하고 보안 패치를 배포했다.

두 취약점은 요청 처리가 비정상적으로 중단될 때 메모리 상태가 제대로 정리되지 않는 문제에서 비롯된다.

CVE-2026-109618은 메모리 할당 실패 뒤 완전히 생성되지 않은 요청 데이터가 정리 과정에서 처리되는 방식과 관련된다.

CVE-2026-109619는 해제된 전역 상태가 남아 같은 워커가 다음 요청에서 다시 참조할 수 있는 문제다.

두 경우 모두 웹 워커 권한의 원격 코드 실행으로 이어질 수 있다.

서버를 즉시 업데이트하기 어려운 환경을 위해 펜타시큐리티는 웹방화벽 WAPPLES와 SaaS형 Cloudbric WAF+에 PHP 취약점 대응 커스텀 규칙과 설정 가이드를 배포했다.

조작된 요청을 PHP 서버에 도달하기 전에 차단해 패치를 적용할 시간을 확보하는 방식이다.

웹방화벽 규칙은 위험을 줄이는 보완책이며 취약점 자체를 제거하는 PHP 업데이트를 대신하지 않는다.

PHP 개발팀은 패치 전 임시 조치도 안내했다.

CVE-2026-109618에는 요청 크기 제한과 메모리 한도 설정 등을, CVE-2026-109619에는 세션 업로드 진행률 기능 비활성화 등을 제시했다.

취약한 버전을 사용한다면 해당 환경에 맞는 보안 패치를 우선 적용하고, 업데이트 전에는 임시 설정이나 웹방화벽 규칙을 함께 검토할 수 있다.