PHP 제품 취약점 임시 조치 권고 (CVE-2026-115560)

개요

PHP 개발팀은 session.upload_progress 처리 과정에서 발생하는 원격 코드 실행 취약점인 CVE-2026-115560에 대한 임시 조치 방안을 발표하였다. 현재 해당 취약점에 대한 보안 업데이트는 배포되지 않았다.

영향 대상

다음 조건을 모두 충족하는 PHP 환경이 대상이다.

• session.serializehandler 설정값이 phpbinary 또는 php_serialize인 경우.
• sessionstart() 호출 전 iniset()을 통해 session.serialize_handler 값을 php로 변경하는 경우.
• session.upload_progress.enabled 설정이 활성화된 경우.

취약점 내용

해당 취약점은 PHP 세션 업로드 진행률 처리 과정에서 발생하는 원격 코드 실행 취약점이다. 즉, 공격자가 취약한 환경을 악용해 임의 코드 실행을 시도할 수 있는 문제이다.

임시 조치

보안 업데이트가 제공되기 전까지 php.ini 또는 PHP-FPM pool 설정에서 session.upload_progress.enabled=0으로 설정해 비활성화해야 한다. 설정 변경 후에는 모든 PHP 워커 또는 관련 웹 서버 서비스를 재시작해야 한다.

참고

PHP 공식 보안 사전 공지, KISA 보호나라의 임시 조치 권고, NVD의 CVE-2026-115560 항목이 참고 자료로 제시되었다.