PHP 기본 설정 서버 뚫린다… 치명적 취약점 익스플로잇 유출에 개발자들 비상

요약 해커 뉴스 및 해외 보안 커뮤니티에 PHP의 기본 설정 환경에서 원격 코드 실행(RCE)이 가능한 심각한 힙 UAF(Use-After-Free) 제로데이 취약점 정보와 실전 공격용 익스플로잇 도구가 유출되었습니다. 이번에 공개된 취약점은 CVE-2026-109618 및 CVE-2026-109619로 식별되었으며, PHP의 `session.upload_progress` 처리 로직(ext/session/session.c의 php_session_rfc1867_callback)에 존재합니다. 파일 업로드 진행 상황을 추적하는 과정에서 캐시된 버킷 포인터가 요청 라이프사이클 중 메모리에서 해제되면서 힙 메모리 재할당 및 조작이 가능해지는 힙 UAF 버그입니다. 특히 이 취약점은 특별한 외부 확장이 필요 없는 기본 설정(`session.upload_progress.enabled=1`) 상태에서도 단 한 번의 빠른 multipart POST 요청만으로 공격 체인을 활성화할 수 있어 파급력이 매우 큰 것으로 평가됩니다. 분석가 J4ck3LSyN은 최신 버전의 공식 php-src(8.4.4 및 8.2.34) 및 LiteSpeed의 lsphp82 바이너리 심볼을 기반으로 `system()` 함수를 직접 호출하는 완성형 공격 프레임워크와 PoC 스크립트를 완전히 공개했습니다. 작성자는 대기업 고객들만 보안 패치 이전 완화책을 선점하는 불평등을 막기 위해 소규모 개발팀과 중소 사이트를 위해 무료로 긴급 임시 대응 가이드를 배포했다고 밝혔습니다. 공식 보안 패치가 출시되기 전까지 관리자들은 php.ini 설정에서 `session.upload_progress.enabled = Off`로 변경해 웹 서버를 재시작하고, WAF나 리버스 프록시 단에서 불필요한 multipart/form-data 업로드 요청을 차단할 것이 권장되고 있습니다.