무슨 일이 있었나
2026-10-21에 PHP 프로젝트가 두 가지 치명적인 인증되지 않은 RCE 결함을 공개했습니다(CVE-2026-109618 OOM 시 조기 종료 메모리 손상; CVE-2026-109619 낡은 교차 요청 전역 상태 -> use-after-free). CISA는 2026-10-26에 둘 다 KEV에 추가했으며 확인된 익스플로잇이 있습니다; Cloudflare는 수백만 건의 익스플로잇 시도를 보고했고 AWS는 패치 며칠 전에 프로빙이 시작되었다고 말했습니다. 2026-10-22까지 Mirai 봇넷 운영자들이 ASLR 우회 익스플로잇이 등장하면서 공격에 합류했습니다.
왜 중요한가
PHP는 AI/ML 서비스를 감싸는 웹 프런트엔드와 관리 표면의 상당 부분을 호스팅합니다 — 모델 마켓플레이스 UI, MLflow/벡터 DB 대시보드, AI 플러그인 생태계. 손상이 애플리케이션 인증 전에 요청 종료 시점에서 발생하므로 앱 수준 제어로 차단할 수 없습니다; 웹 티어의 RCE는 AI 워크로드에 공급되는 데이터 플레인으로 피벗할 수 있습니다.
공격 경로
인증되지 않은 조작된 HTTP 요청(유효한 Content-Length가 없는 multipart, 무제한 파트별 헤더)이 애플리케이션 코드 실행 전에 요청 종료 메모리 손상 / 교차 요청 use-after-free를 유발합니다; DoS, 메모리 공개 또는 원격 코드 실행으로 이어집니다. 실제 야외에서 확인되었으며 2026-10-26에 CISA KEV에 추가되었습니다.
영향받는 시스템
PHP 8.2 <8.2.35, 8.3 <8.3.36, 8.4 <8.4.27, 8.5 <8.5.12 (CVE-2026-109618 메모리 손상 RCE 및 CVE-2026-109619 낡은 요청 상태 UAF RCE); EOL 브랜치에는 수정 없음
완화 방안
PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12로 패치하십시오. 즉시 업그레이드할 수 없는 경우: memory_limit=-1, 요청 본문 크기/multipart 파트/헤더 제한, PHP 8.5에서 session.upload_progress 비활성화. 패치된 PHP-FPM으로 컨테이너 이미지를 재빌드/롤링하십시오.