CVE-2026-109619: PHP 잔존 전역 상태 use-after-free의 RCE 조건과 야생 관측의 정확한 범위

PHP는 요청을 하나 처리할 때마다 상태를 정리하고 다음 요청을 초기화합니다. CVE-2026-109619는 바로 그 경계에서, 이전 요청이 남긴 전역 상태를 다음 요청의 정상 초기화가 대체하기 전에 먼저 참조할 때 발생하는 use-after-free 결함입니다. PHP 공식 보안 자문 GHSA-6wmf-4rv5-p3rp는 이 결함이 전략적으로 짜맞춘 힙 레이아웃에서 완전한 원격 코드 실행(RCE)으로 이어질 수 있다고 밝힙니다. 야생 관측 기록도 공개되어 있지만, 그 범위는 개별 CVE의 단독 입증과는 구분해서 읽어야 합니다.

개요

- 원인 유형: 요청 간 잔존 전역 상태(stale global state)를 정상 초기화 이전에 참조해 발생하는 use-after-free.
- 공식 자료: 자문 GHSA-6wmf-4rv5-p3rp는 관측 타임라인상 2026-10-21T13:34:00에 CVE-2026-109619 공식 자문으로 게시됐고, PHP_SESSION_UPLOAD_PROGRESS 경로를 사용하는 stale global state 결함으로 소개됩니다.
- 악용 조건: 상태를 남기는 생산자(producer) 연산과 정상 초기화 이전에 그 값을 소비하는 소비자(consumer) 연산이 모두 갖춰져야 합니다.
- 최악의 결과: 전략적으로 조작된 힙 레이아웃에서 완전한 원격 코드 실행(RCE) 가능.
- 야생 관측: TU 델프트 위협 인텔리전스 연구팀이 허니팟과 네트워크 망원경으로 2026-10-20부터 CVE-2026-109618과 CVE-2026-109619의 악용을 관측했다고 공개했습니다. 두 CVE를 PHP2Shell로 명명된 session.upload_progress use-after-free로 함께 다루고 있으며, 제공된 인용에는 CVE별 분리 집계나 각각의 기여도가 없습니다.
- 아직 확인하지 못한 것: CISA KEV 등재 여부와 등재일, CVE-2026-109619의 정확한 수정 버전, 야생에서 사용된 페이로드·IOC. KEV 등재를 전제로 한 대응 기한 계산은 정부 원 출처를 확인한 뒤 판단해야 합니다.

영향 범위

• PHP 8.5 환경: 공식 자문의 완화 권고가 업데이트할 수 없는 PHP 8.5 설치 환경을 직접 지목합니다. 적어도 PHP 8.5는 점검 대상에 포함된다고 보는 것이 합리적입니다.
• session.upload_progress 경로를 쓰는 구성: 공식 자문이 이 결함의 통로로 PHP_SESSION_UPLOAD_PROGRESS를 지목했으므로, 세션 업로드 진행 상태 기능을 쓰는 애플리케이션·확장·서버 구성은 결함 경로와 맞닿아 있습니다.
• 생산자와 소비자가 공존하는 구성: 한 요청의 상태를 이후 요청에서도 접근 가능한 위치에 저장하는 연산과, 정상 초기화 이전에 그 값을 읽는 연산이 함께 존재해야 악용이 성립합니다.
• 정확한 수정 버전: CVE-2026-109619의 특정 마이너 또는 패치 버전은 전달된 근거에서 확인되지 않았습니다. 버전 감사의 기준 버전은 PHP 공식 발표로 확정해야 합니다.

점검 범위를 좁히는 질문

• 운용 중인 PHP의 시리즈와 버전을 확정했는가.
• session.upload_progress 기능이 실제로 켜져 있고, 그 기능을 노출하는 엔드포인트가 공개되어 있는가.
• 요청의 정상 초기화 이전 단계에서 동작하는 확장이나 후처리 연산이 남아 있는가. 소비자 후보가 되는 질문입니다.
• 이전 요청이 소유한 상태를 요청 경계를 넘어 저장해 두는 커스텀 코드나 확장이 있는가. 생산자 후보가 되는 질문입니다.
• 인증 및 경로 노출 구조는 어떻게 되는가. 자문은 RCE 가능성을 밝히지만 무인증 도달 여부는 전달된 근거로 확인되지 않았으므로, 실제 위험도는 대상 서비스의 인증 및 경로 노출 구조에 따라 달라집니다.

기술적 분석

상태 정리가 늦는 자리

PHP는 요청이 끝나면 상태를 정리하고 다음 요청에서 초기화를 다시 수행합니다. 공식 자문이 묘사하는 결함은 이 순서가 어긋나는 지점에서 나타납니다. 정상 초기화가 이전 요청의 잔존 상태를 대체할 기회를 갖기 전에 동작하는 연산이 그 상태에 접근하면 use-after-free가 발생합니다. 자문은 힙 레이아웃이 전략적으로 조작되면 이 결함이 완전한 원격 코드 실행(RCE)으로 이어질 수 있다고 명시합니다.

생산자와 소비자, 두 조건이 만날 때

• 생산자: 한 요청이 소유한 상태를, PHP가 이후 요청에서도 접근할 수 있는 위치에 저장하는 연산.
• 소비자: 정상 요청 초기화가 이루어지기 전에 실행되어 그 잔존 값을 소비하는 후속 연산.
• 자문은 성공적인 악용에 두 조건이 모두 필요하다고 명시하고, 관측 자료는 이 경로로 PHP_SESSION_UPLOAD_PROGRESS를 지목합니다.

두 조건 중 하나가 없으면 이 경로로는 악용이 성립하지 않습니다. 반대로 두 연산이 별도의 공격자 노력 없이 자동으로 만들어지는 구성에서는, 수정 버전이 확인되어 적용되기 전까지 위험이 계속 존재한다고 보는 편이 정확합니다. 따라서 영향 판단은 PHP 버전만으로 끝나면 안 되고, 어떤 연산이 요청 경계 어디에서 도는지를 함께 포함해야 합니다.

공개 PoC·익스플로잇 분석

• 출처: TU 델프트 위협 인텔리전스 연구팀이 운영하는 PHP2Shell in the wild 페이지입니다. 연구팀은 허니팟과 네트워크 망원경으로 2026-10-20부터 CVE-2026-109618과 CVE-2026-109619의 악용을 관측했다고 공개하고, 두 건을 PHP2Shell로 명명된 session.upload_progress use-after-free로 함께 소개합니다. 페이지의 공개 타임라인은 2026-10-21T13:34:00에 게시된 공식 자문 GHSA-6wmf-4rv5-p3rp를 PHP_SESSION_UPLOAD_PROGRESS 경로를 사용하는 stale global state 결함, 즉 CVE-2026-109619의 자문으로 인용합니다. CVE-2026-109618에 대해서는 CVE Program(PHP CNA)의 CVE List V5 레코드가 게시되어 있다는 사실 이외에 전달된 근거로 확인할 수 있는 특징이 더 없습니다.
• 전제조건: 관측된 시도가 이 결함 경로로 성립하려면 공식 자문이 제시한 조건, 즉 생산자 연산과 소비자 연산이 대상 구성에 동시에 있어야 하고, RCE까지는 힙 레이아웃의 전략적 조작이 필요합니다. 같은 허니팟 관측이라도 대상 구성의 PHP 시리즈와 확장 조합에 따라 성립 조건이 다르므로, 우리 환경에 두 조건이 실제로 있는지가 먼저 판단되어야 합니다.
• 입증 범위: 공개된 내용은 두 CVE의 악용 시도가 실재한다는 관찰까지이며, 집계는 CVE 단위로 분리되지 않습니다. 따라서 이 관측만으로 CVE-2026-109619 단독의 악용 성립이나 특정 운영 서비스의 침해를 입증하지는 못합니다. 전달된 근거에는 야생에서 쓰인 구체적 페이로드, IOC, PoC 코드 원문, 성공률, 피해 규모가 없어 악용 성숙도의 정량 평가에도 이르지 못합니다. 허니팟과 망원경은 공격 시도의 존재를 보여주지, 실제 운영 환경의 침해 결과를 그대로 대표하지는 않습니다. CISA KEV 등재 여부도 이 자료로는 확인되지 않습니다.
• 운영상 의미: 관측 시작 시점(2026-10-20)이 CVE-2026-109619 공식 자문 게시(2026-10-21)보다 앞서 있습니다. 집계가 두 CVE를 함께 다루기 때문에 이 시차를 109619 단독의 노출 시점으로 단정할 수는 없지만, 적어도 관련 악용 시도가 자문 공지 이전부터 관측되고 있었다는 점은 자문과 패치 공지를 기다리는 시간 자체가 방어 공백일 수 있음을 시사합니다. 대응은 신규 취약점을 관찰하는 단계가 아니라, 공개 서비스부터 업데이트와 완화를 앞당기는 쪽으로 정해야 합니다. 그 판단을 좌우하는 실질 변수는 공식 자문이 명시한 생산자·소비자 조건의 유무입니다.

로그가 남지 않을 수 있다는 점

공식 자문은 애플리케이션, 확장, 서버 경로에 따라 잔존 상태가 예측 가능한 로그 항목 없이 노출되거나 소비될 수 있다는 취지의 주의를 담고 있습니다. 이 전제를 두고 보면 서명이나 단일 로그 항목에만 의존하는 탐지에는 공백이 생길 수 있고, 로그에 아무것도 남지 않았다는 사실을 안전의 근거로 쓰면 안 됩니다. 다만 악용에 사용된 구체적 페이로드나 IOC는 전달된 근거에 없으므로, 이 글에서는 특정한 탐지 지표를 제시하지 않습니다.

대응 방안

순서 정하기

• 먼저 PHP 공식 발표에서 CVE-2026-109619의 수정 버전을 확인하고, 그 버전으로의 업데이트를 최우선으로 잡습니다. 정확한 수정 버전이 확인되기 전에는 목표 버전을 임의로 정하지 않는 편이 안전합니다.
• 업데이트를 즉시 적용하기 어려운 PHP 8.5 환경만 공식 완화 조치를 병행합니다.
• 완화 설정은 업데이트 전 시간을 버티는 임시 방어에 가깝습니다. 설정을 적용했더라도 이후 업데이트를 완료하고 원래 운영 설정과의 정합성을 다시 확인해야 합니다.
• 공개 서비스는 session.upload_progress 노출 여부와 요청 경계에서의 상태 저장·소비 구조를 기준으로 우선순위를 다시 정합니다.

지금 확인할 것

• 운용 중인 모든 PHP 서비스의 버전 목록
• session.upload_progress 설정과 이를 노출하는 엔드포인트
• 요청의 정상 초기화 이전 단계에 실행되는 확장이나 연산
• 이전 요청의 상태를 이후 요청에서 접근 가능한 위치에 저장하는 연산이 있는지
• 완화 설정 적용 여부와 워커 재시작 이력

업데이트가 막힌 PHP 8.5 환경

공식 자문은 업데이트할 수 없는 PHP 8.5 설치 환경에 대해 관리자 수준에서 fatal_error_backtraces=0을 설정하고 모든 워커를 재시작하라고 권고하며, 이 조치가 생산자 경로를 제거한다고 설명합니다. 설정만 바꾸고 워커를 재시작하지 않으면 이전 설정을 가진 프로세스가 남아 권고의 효과가 기대대로 나타나지 않을 수 있습니다. 전달된 인용이 일부이므로 세부 표현은 원문으로 확인하는 것이 안전합니다.

로그만으로는 부족할 수 있다는 점

예측 가능한 로그 항목 없이 잔존 상태가 노출되거나 소비될 수 있다는 자문의 전제를 기준으로, 로그 부재를 안전의 증거로 취급하지 않는 탐지 정책이 필요합니다. 특정 이벤트나 오류 패턴을 지시할 근거는 전달된 자료에 없습니다.

구조적으로 해야 할 일

• 정확한 수정 버전이 공식 발표로 확정되는 시점에 버전 감사 대상과 기준을 갱신합니다.
• 공식 자문의 생산자·소비자 정의를 기준으로, 자체 구성에서 두 연산에 해당하는 항목이 있는지 점검 항목으로 관리합니다.
• 완화 설정을 적용한 환경에서는 설정 반영과 전체 워커 재시작 이력이 권고대로 이행되었는지 확인합니다.

한계

• CISA KEV 등재 여부와 등재일은 전달된 근거에서 확인하지 못했습니다.
• CVE-2026-109619의 정확한 수정 버전 번호가 확인되지 않아 특정 버전으로의 업데이트를 지시하지 못합니다.
• 야생 관측은 CVE-2026-109618과 CVE-2026-109619를 함께 집계하며 CVE별 분리 수치를 제공하지 않습니다.
• 야생 악용에 사용된 페이로드와 IOC, PoC 코드 원문, 무인증 도달 여부도 이 자료만으로는 확정할 수 없습니다.

참고자료

• GHSA-6wmf-4rv5-p3rp: RCE via stale global state
• PHP2Shell in the wild

함께 읽으면 좋은 글

• CVE-2026-109997: Ninja Forms 3.15.5 이하, 'extra' 파라미터와 메타데이터 키 정규화가 지목된 인증 없는 저장형 XSS
• CVE-2026-118551: Drupal AI 모듈 민감정보 불안전 저장(SA-CONTRIB-2026-271), 영향 버전 1.4.11 미만·1.5.0 이상 1.5.2 미만
• WordPress Project Manager(weDevs) Validator 보안 수정과 4.1.2 점검

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.