# PHP2Shell: 두 가지 치명적인 PHP 결함, 유출된 엠바고, 그리고 실제로 알려진 악용에 대한 정보

Published: 2026-10-22

PHP는 PHP2Shell이라고 불리는 두 가지 중요한 원격 코드 실행 취약점인 CVE-2026-109618과 CVE-2026-109619에 대한 긴급 수정 사항을 출시했습니다. 이 릴리스는 2026년 10월 21일에 발표되었습니다. 이 에피소드는 두 가지 메모리 버그를 쉽게 설명하고, 2024년 감사에서 발견된 단서가 왜 수정될 때까지 기다렸는지, 엠바고가 어떻게 유출되었는지, 그리고 어떤 출처가 악용에 대해 무엇을 말하는지를 다룹니다. 또한 GitLab의 당일 중요 패치 릴리스와 뉴멕시코에서 발생한 250억 달러 규모의 Meta 벌금 명령도 다룹니다.

Canonical: https://thedailydiff.dev/ko/video/2026-10-22-php2shell/

## 이 동영상에서 다루는 내용

- 두 가지 결함 모두 PHP 팀에 의해 CVSS v4.0에서 9.2로 평가되었습니다. 수정된 릴리스는 PHP 8.2.35, 8.3.36, 8.4.27 및 8.5.12이며, PHP 7.4, 8.0 및 8.1은 소스 패치만 받았습니다. PHP는 업데이트만이 완전한 완화책이라고 말합니다.
- 첫 번째 결함은 PHP가 잘못된 순간에 메모리가 부족하여 요청을 절반만 구축한 채로 남겨두는 데서 발생합니다. 두 번째 결함은 이전 요청의 메모리를 가리키는 남은 포인터로, 동일한 워커의 다음 요청이 이를 사용할 수 있습니다. mod\_php가 있는 Apache에서는 첫 번째 경로가 애플리케이션 코드보다 먼저 실행됩니다.
- PHP 핵심 개발자가 2024년 감사 중에 메모리 문제의 첫 징후를 발견했습니다. PHP 재단은 경쟁적인 수정 사항들이 절충안을 가지고 있었고 합의 기반의 보안 팀이 선택하는 데 어려움을 겪었다고 말하며, 이를 구조적 실패라고 부릅니다.
- 재단은 CVE ID가 10월 20일에 유출되었고, Calif가 실수로 개념 증명 비디오를 게시했으며, Chainguard가 릴리스보다 6시간 이상 먼저 수정 사항이 포함된 빌드 이미지를 게시했다고 말합니다. Chainguard의 CEO는 사람들이 이미 피해를 입고 있었고 자신이 독립적으로 버그를 발견했다고 말합니다.
- 악용에 대한 출처들의 의견이 다릅니다. Amazon은 10월 17일에 시도를 기록했으며 나중에 PHP2Shell이 광범위하게 악용되었다고 말했습니다. watchTowr은 실제 악용을 보고했습니다. CISA는 게시 시점에 악용을 관찰하지 않았으며, PHP 팀은 릴리스 시점에 기능하는 익스플로잇을 찾지 못했습니다. 많은 공개된 개념 증명 스크립트는 작동하지 않는다고 보고됩니다.
- 다른 소프트웨어 내부에 있는 복사본을 포함하여 PHP가 실행되는 모든 위치를 확인하고, 업데이트하고, 워커를 다시 시작하고, 10월 17일까지의 로그를 검토하십시오.

## 자주 묻는 질문

### 두 가지 PHP2Shell 취약점은 무엇입니까?

PHP2Shell은 PHP 팀에 의해 모두 9.2로 평가된 두 가지 치명적인 PHP 결함인 CVE-2026-109618과 CVE-2026-109619를 지칭합니다. 첫 번째는 PHP가 잘못된 순간에 메모리가 부족하여 요청을 절반만 구축한 채로 남겨두면 정리 단계에서 이를 신뢰하게 됩니다. 두 번째는 이전 요청의 메모리를 가리키는 포인터가 남아 있어 동일한 워커의 다음 요청이 이를 사용할 수 있습니다. 둘 다 로그인 없이 코드 실행으로 이어질 수 있습니다.

### PHP2Shell에 대한 수정 사항이 있는 PHP 버전은 무엇이며, 지원되지 않는 버전은 어떻습니까?

PHP 프로젝트는 10월 21일에 8.2.35, 8.3.36, 8.4.27 및 8.5.12 버전으로 수정 사항을 발표했습니다. 7.4, 8.0 및 8.1 버전에는 소스 패치만 게시했으며, BleepingComputer는 배포판 및 장기 지원 공급업체가 백포팅된 수정 사항을 제공할 수 있다고 보고합니다. PHP는 완전한 임시방편이 없으므로 업데이트하거나 공급업체에 패치된 패키지를 요청하는 것이 유일한 안전한 선택이라고 말합니다.

### 알려진 PHP 메모리 버그가 왜 2026년 10월까지 수정되지 않았습니까?

PHP 재단은 핵심 개발자가 2024년 보안 감사 중에 메모리 문제의 첫 징후를 발견했지만, 알려진 익스플로잇 경로는 없었고 모든 후보 수정 사항은 호환성 문제와 같은 절충안을 가지고 있었다고 말합니다. 보안 팀은 합의로 결정하고 선택하는 데 어려움을 겪었으며, 재단은 이를 의사 결정 과정과 자원 부족으로 인한 구조적 실패라고 부릅니다.

### PHP2Shell이 악용되고 있으며, 악용하기 쉽습니까?

출처들의 의견이 다릅니다. Amazon은 10월 17일에 악용 시도를 기록했으며 나중에 PHP2Shell이 광범위하게 악용되었다고 말했고, watchTowr은 실제 악용을 보고했습니다. CISA는 게시 시점에 악용을 관찰하지 않았으며, PHP 팀은 릴리스 시점에 기능하는 익스플로잇을 보지 못했습니다. watchTowr은 대부분의 공개 익스플로잇 스크립트가 충돌하거나 아무것도 하지 않으며, VulnCheck은 일부 설정에서만 코드 실행이 작동한다는 것을 발견했습니다.

### The Daily Diff의 PHP2Shell에 대한 판결은 무엇이었습니까?

The Daily Diff의 판결은 SHIP IT이었습니다. 오늘 밤 PHP 업데이트를 배포하십시오. 새로운 버전이 유일한 완전한 수정 사항이기 때문입니다. CISA는 다른 소프트웨어 내부에 있는 복사본을 포함하여 PHP를 실행하는 모든 시스템을 재고하고, 패치를 적용하고, 업데이트할 수 없는 PHP 시스템은 오프라인으로 전환하라고 말합니다. Amazon은 첫 시도가 있었던 10월 17일까지의 로그를 검토할 것을 권장합니다.

## 챕터

- 0:00 누가 PHP2Shell을 4일 일찍 시도했습니까?
- 0:41 두 가지 PHP2Shell 버그는 무엇입니까?
- 1:37 알려진 버그가 왜 2년 동안 기다려야 했습니까?
- 1:54 누가 PHP2Shell을 어떻게 발견했습니까?
- 2:20 PHP2Shell 엠바고는 어떻게 유출되었습니까?
- 2:50 PHP2Shell이 악용되고 있습니까? 누구에 의해?
- 3:43 정부는 무엇을 오프라인으로 전환했습니까?
- 4:11 어떤 PHP 버전이 수정됩니까?
- 4:30 오늘 밤 PHP2Shell에 대해 무엇을 해야 합니까?
- 4:45 오늘 다른 어떤 치명적인 RCE 패치가 출시되었습니까?
- 5:01 Meta가 250억 달러를 지불하라는 명령을 받은 이유는 무엇입니까?
- 5:18 Chainguard의 조기 수정에 대한 변명은 무엇입니까?
- 5:38 무엇이 SHIP IT 스탬프를 받습니까?

## 번역된 스크립트

원래 영어 내레이션에서 번역되었습니다. 사용 가능한 오디오 및 캡션은 YouTube에서 제어합니다.

### 누가 PHP2Shell을 4일 일찍 시도했습니까?

0:00 보안 엠바고는 패치가 배포될 때까지 버그를 비밀로 유지해야 합니다. Amazon은 PHP의 치명적인 버그에 대한 시도를 4일 일찍 기록했습니다. 이 비디오에서 누가 그것을 발견했습니까? 엠바고는 어떻게 유출되었습니까? 그리고 실제로는 얼마나 나쁩니까? 그리고 유출의 비난을 받은 회사는 제가 예상치 못한 방어책을 가지고 있습니다. 알아보겠습니다. 10월 22일 목요일이고, The Daily Diff입니다.

0:21 PHP는 웹 페이지가 서버에서 구축되는 스크립팅 언어입니다. 당신에게 도달하기 직전에. 그것은 30년이 넘었으며, 한 추정에 따르면, WordPress와 Wikipedia의 소프트웨어를 포함하여 웹사이트의 약 70%를 실행합니다. 개발자들은 보통 PHP가 제공하는 페이지에서 그것을 비웃는 것을 좋아합니다. 그것의 유지는 약 13명의 엔지니어가 있는 비영리 단체입니다.

### 두 가지 PHP2Shell 버그는 무엇입니까?

0:41 수요일에 PHP는 낯선 사람이 로그인 없이 서버에서 코드를 실행할 수 있는 두 가지 치명적인 결함에 대한 긴급 수정을 발표했습니다. 낯선 사람이 로그인 없이 서버에서 코드를 실행할 수 있도록 하는 두 가지 치명적인 결함에 대한 긴급 수정을 발표했습니다. 그것들은 함께 PHP2Shell이라고 불리며, PHP 5.4까지 거슬러 올라갑니다. 여기에 첫 번째 버그를 평이한 말로 설명합니다. PHP는 모든 요청에 메모리 예산을 부여합니다. 요청이 정확히 잘못된 순간에 그 한계에 도달하면, PHP는 급하게 중단하고 요청을 절반만 구축된 채로 남겨둡니다. 그러면 정리 단계에서 절반만 구축된 것을 신뢰합니다.

1:07 두 번째 버그는 남은 것입니다. 치명적인 오류는 이전 요청에 속했던 메모리를 가리키는 메모를 남길 수 있습니다. 동일한 워커가 다음 요청을 처리하고 메모를 따릅니다. 그때쯤에는 다른 사람이 그 주소에 살고 있습니다. mod PHP가 있는 Apache에서는 자신의 코드가 실행되기 전에 손상이 발생합니다. 따라서 로그인 페이지는 투표권을 얻지 못합니다. Wiz는 심지어 헬로 월드 스크립트도 노출된다고 말합니다. 수정 사항은 메모리가 부족할 때 PHP의 비상 종료를 제거합니다.

1:32 요청 중간에 중단하는 대신, PHP는 이제 다음 안전한 지점에서 정중하게 중단합니다. 이상한 점은 첫 번째 단서가 얼마나 오래되었는지입니다.

### 알려진 버그가 왜 2년 동안 기다려야 했습니까?

1:39 2024년에 외부 보안 감사가 PHP 핵심 개발자를 메모리 문제의 첫 징후로 이끌었습니다. 알려진 익스플로잇은 없었고, 모든 수정 사항이 무언가를 망가뜨렸습니다. 합의로 결정하는 팀은 선택할 수 없었기 때문에 버그는 기다렸습니다. 그러다가 8월에 발견자들이 며칠 안에 도착했습니다.

### 누가 PHP2Shell을 어떻게 발견했습니까?

1:56 Calif 연구원 라이언 오스틴은 8월 1일에 그것을 발견했습니다. OpenAI의 Patch the Planet 프로그램을 통해 작업했습니다. OpenAI는 동일한 근본 원인을 독립적으로 보고했습니다. Wiz는 몇 주 후 Gemini 및 GPT 모델로 변종을 발견했습니다. 오스틴은 누구나 얻을 수 있는 모델과 PHP의 오래된 버그가 숨어 있는 곳에 대한 이론을 사용했다고 말합니다. OpenAI는 첨단 AI가 핵심이라고 말합니다. 버그는 10년 이상 숨어 있었습니다. 출시는 목요일로 예정되어 있었습니다.

### PHP2Shell 엠바고는 어떻게 유출되었습니까?

2:21 화요일에 두 가지 CVE 번호가 온라인에 유포되기 시작했습니다. 잘못된 출시 시간과 잘못된 10점 만점 점수와 함께요. PHP는 출시를 하루 앞당겼습니다. 그날 저녁, Calif는 실수로 개념 증명 작동 비디오를 게시했고, 복사본은 삭제된 후에도 남아 있었습니다. 수요일 아침, 출시보다 6시간 이상 전에, Chainguard는 수정 사항이 포함된 빌드 이미지를 게시했습니다. PHP는 다른 모든 사람들이 기다리는 동안 공격자가 그 수정 사항을 연구할 수 있었다고 말합니다.

2:46 패치는 또한 diff이며, 공격자는 diff를 읽습니다.

### PHP2Shell이 악용되고 있습니까? 누구에 의해?

2:50 그렇다면 누가 실제로 공격을 받고 있습니까? Amazon의 허니팟은 10월 17일에 시도를 기록했으며 나중에 PHP2Shell이 광범위하게 악용되었다고 말했습니다. PHP2Shell은 광범위하게 악용된다고 말했습니다. watchTowr은 실제 악용을 보고합니다. Cisa는 게시 시점에 아무것도 관찰하지 않았다고 말했으며, PHP 팀은 릴리스 시점에 작동하는 익스플로잇을 보지 못했습니다. 작동하는 익스플로잇을 보지 못했습니다. Cloudflare의 CEO는 발표 전 10시간 동안 수천 건의 시도를 보았고, 목요일 아침까지는 수백만 건의 시도를 보았다고 말했습니다.

3:13 Amazon은 한 가지 점에 대해 신중합니다. 가장 초기의 시도가 실제 시스템에서 작동했을지는 알 수 없습니다. 시도는 문을 두드리는 것에 불과합니다. 그렇다면 실제로는 얼마나 나쁩니까? watchTowr은 돌아다니는 공개 익스플로잇은 대부분 충돌하거나 아무것도 하지 않는다고 말합니다. VulnCheck은 일부 설정에서는 코드 실행이 작동하며, 공개된 것 중 어느 것도 표준 x86 서버의 메모리 무작위화를 이길 수 없다고 말합니다. 표준 x86 서버의 메모리 무작위화를 이길 수 없다고 말합니다. 연구원 엘리아스 테일러는 Log4Shell만큼 쉽지 않다고 말합니다.

3:40 모든 사람이 여전히 패치하라고 말합니다. 정부는 판결을 기다리지 않았습니다.

### 정부는 무엇을 오프라인으로 전환했습니까?

3:44 NSA는 패치할 수 없는 조직에 PHP 시스템을 오프라인으로 전환하라고 지시했고, 영국 국립 사이버 보안 센터도 비슷한 조언을 했습니다. 네덜란드 사이트, 국가 디지털 신원 서비스를 포함하여, 파리 경찰 사이트와 함께 다운되었습니다. 위키미디어는 예방 조치로 여러 시스템을 다운시켰습니다. Palo Alto Networks는 2천2백만 개 이상의 노출된 인스턴스를 계산했습니다. 그리고 호주 교수가 가장 날카로운 지적을 했습니다. 걱정해야 할 사이트는 오늘 다운되지 않은 사이트들입니다.

### 어떤 PHP 버전이 수정됩니까?

4:11 PHP 8.2부터 8.5까지 수정 사항이 존재합니다. 7.4, 8.0, 8.1의 경우, PHP는 소스 패치만 게시했습니다. 이전 버전은 PHP 프로젝트에서 아무것도 얻지 못하므로 배포판에 문의하십시오. 임시방편은 가능성을 줄이지만, PHP는 업데이트만이 유일한 완전한 수정 사항이라고 말합니다. 어제 eMudhra 에피소드와 같은 교훈입니다.

### 오늘 밤 PHP2Shell에 대해 무엇을 해야 합니까?

4:32 수정 사항이 존재한다고 해서 실행 중인 프로세스가 그것을 가지고 있는 것과 같지는 않기 때문입니다. 스택의 모든 PHP를 찾으십시오. 다른 소프트웨어 내부에 숨어 있는 복사본까지도요. 업데이트하고, 워커를 다시 시작하고, 10월 17일까지의 로그를 확인하십시오. 같은 날, GitLab은 치명적인 패치 릴리스를 발표했습니다.

### 오늘 다른 어떤 치명적인 RCE 패치가 출시되었습니까?

4:47 19.5.1입니다. 정규 표현식 컴파일러의 정수 오버플로로 인해, 인증되지 않은 사용자가 서버에서 코드를 실행할 수 있으며, 점수는 10점 만점에 10점입니다. GitLab.com은 이미 패치되었습니다. 자체 관리 설치에는 업데이트가 필요합니다.

### Meta가 250억 달러를 지불하라는 명령을 받은 이유는 무엇입니까?

5:01 한편 뉴멕시코에서는 판사가 Meta에게 캠브리지 애널리티카 사건으로 250억 달러의 벌금을 지불하라고 명령했습니다. 캠브리지 애널리티카 사건으로 250억 달러의 벌금을 지불하라고 명령했습니다. 배심원단은 4천3백만 건 이상의 위반을 각각 최대 5천 달러로 계산했으며, 판사가 줄이기 전에는 약 2천2백억 달러에 달했습니다. Meta는 항소에서 승리할 것이라고 말합니다. 판사가 줄이기 전에는 약 2천2백억 달러에 달했습니다. Meta는 항소에서 승리할 것이라고 말합니다. 이제 제가 약속했던 변명입니다.

### Chainguard의 조기 수정에 대한 변명은 무엇입니까?

5:19 Chainguard의 CEO는 The Register에 PHP에서 뭔가 문제가 생길 것이라는 것을 안 후, 금요일 밤에 기본적인 프롬프트를 사용하여 나쁜 취약점을 찾아 스스로 동일한 버그를 발견했다고 말했습니다. 그는 사람들이 이미 피해를 입고 있었기 때문에 일찍 배포했다고 말합니다. 이것을 제가 말하는 것보다 읽고 싶다면, diff는 매일 아침 무료로 thedailydiff.dev에서 받은편지함으로 전달됩니다. 링크는 아래에 있습니다. 그래서 오늘의 판결은 SHIP IT입니다.

### 무엇이 SHIP IT 스탬프를 받습니까?

5:39 오늘 밤 PHP 업데이트를 배포하십시오. 새로운 버전 번호가 유일한 완전한 수정 사항이기 때문입니다. 오늘 밤 PHP 업데이트를 배포하십시오. 새로운 버전 번호가 유일한 완전한 수정 사항이기 때문입니다. 저는 Axrisi의 Niko입니다. 책임감 있게 병합하세요.

## 출처

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News