PHP2Shell 취약점 재현 및 AhnLab EDR/XDR을 활용한 탐지

PHP 보안팀은 2026년 10월 22일 권고문 통해 CVE-2026-109618과 CVE-2026-109619 취약점에 대한 보안 업데이트를 예고했다. 두 취약점은 발생 원인에는 차이가 있지만, 인증되지 않은 공격자가 원격에서 임의의 코드를 실행할 수 있는 원격 코드 실행 취약점이다.

AhnLab SEcurity intelligence Center(ASEC)은 공개된 PoC를 참고해 재현 테스트를 진행하였다. 여기에서는 해당 테스트를 참고하여 취약점 공격 발생 시 AhnLab EDR을 활용해 관리자가 원인을 파악하고 적절한 대응 및 재발 방지 프로세스를 수립할 수 있도록 관련 정보를 정리한다. 

 

1. PHP2Shell (CVE-2026-109618, CVE-2026-109619) 취약점

PHP(PHP: Hypertext Preprocessor)는 웹사이트와 웹 애플리케이션 개발에 널리 사용되는 서버 측 스크립트 언어다. 사용자가 웹사이트에 접속하면 서버에서 PHP 코드가 실행되고, 그 결과가 웹페이지 형태로 사용자에게 전달된다. 이를 통해 로그인, 회원정보 관리, 게시판, 데이터베이스 연동, 온라인 결제 등 다양한 웹 기능을 구현할 수 있다.

2026년 10월 21일 공개된 CVE-2026-109618, CVE-2026-109619 취약점은 PHP의 내부 요청 처리 과정에서 발생하는 취약점으로서 인증되지 않은 공격자가 원격에서 임의의 코드를 실행할 수 있다

구분	CVE-2026-109618	CVE-2026-109619
취약점 유형	메모리 부족 처리 과정의 데이터 손상	해제된 메모리와 관련된 내부 상태 재사용
주요 원인	요청 데이터가 완전히 초기화되지 않은 상태에서 메모리 부족으로 처리가 중단되고, 이후 정리 과정에서 잘못된 데이터를 유효한 것으로 처리할 가능성	요청 처리에 사용된 내부 상태가 메모리 해제 후에도 남아, 후속 요청에서 초기화 전에 재사용될 가능성
잠재적 영향	인증 없는 원격 코드 실행	인증 없는 원격 코드 실행
심각도	CVSS v4.0 9.2	CVSS v4.0 9.2

표 1. 각 취약점 내용

 

그림 1. 취약점 발생 과정

 

2. PHP2Shell 재현 테스트

재현 테스트 영상은 다음과 같다.

• 0~6초 : 공격자와 피해자 서버의 IP 주소를 확인한다.
• 6~16초 : 공격자가 PHP 웹사이트를 대상으로 테스트 스크립트를 실행한다.
• 16~20초 : 피해자 서버가 공격자 PC에 연결되면서, 공격자는 자신의 PC에서 피해자 서버의 명령 셸을 사용할 수 있게 된다.
• 20~23초 : 명령이 서버의 웹 계정(www-data) 권한으로 실행되는 것을 확인할 수 있다.
• 23~29초 : 서버의 IP 주소를 확인해 실제로 피해자 서버에 접속했는지 검증할 수 있다.

영상 1. php2shell 재현 테스트 영상

그림 2. 재현 테스트 시 프로세스 트리

 

3. 대응 방안

3.1. 최신 업데이트

PHP 보안팀은 2026년 10월 21일 두 취약점을 해결하기 위한 보안 업데이트를 배포했다. PHP 8.2부터 8.5까지 각 버전 계열에 대한 수정 버전이 제공됐으며, PHP 보안팀은 해당 버전을 사용하는 모든 사용자에게 즉각적인 업데이트를 권고했다.

공식 발표에 따른 수정 버전은 다음과 같으며 최신 업데이트 이후 웹 서비스를 재시작한다. 

PHP 버전 계열	보안 업데이트 버전
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

표 2. PHP 중대 취약점 보안 업데이트 버전

 

3.2. 임시 조치 사항

PHP에서 제공하는 웹 서버 설정 적용 및 재시작

• https://www.php.net/archive/2026.php#2026-10-21-5
• https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
• https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

 

3.3. EDR/XDR 및 보안 모니터링

• PHP 프로세스의 비정상 행위 탐지
• 웹쉘 생성 / 실행 탐지
• 이상 파일 생성 및 권한 변경 모니터링

 

4. AhnLab EDR/XDR을 활용한 대응

AhnLab EDR/XDR은 PHP 서비스와 관련된 의심스러운 행위를 위협 또는 주요행위로 탐지하여 관리자가 원인을 파악하고 적절한 대응 및 재발 방지 프로세스를 수립할 수 있도록 도와준다. 공격자는 취약점을 통해 PHP 프로세스를 공격할 수 있으며 이에 따라 PHP 프로세스에 의해 악성 행위가 수행될 수 있다. 관리자는 다음과 같은 탐지룰을 활용해 PHP 서비스의 의심스러운 명령 실행 또는 파일 생성 등의 행위를 인지하고 대응할 수 있다. 

아래 화면은 PHP2Shell PoC 실행 중 대상 PHP 서버에서 AhnLab EDR이 탐지한 이벤트를 보여준다.

그림 3. PHP2Shell PoC 실행 중 대상 PHP 서버의 AhnLab EDR 탐지 이벤트

 

[EDR/XDR 탐지명]

• Suspicious/MDP.Behavior.M12823
• InitialAccess/EDR.Event.M13289
• InitialAccess/EDR.Event.M13291
• InitialAccess/EDR.Event.M13361
• InitialAccess/DETECT.Upload.M13367
• InitialAccess/EDR.Upload.M13395
• InitialAccess/DETECT.Event.M11450