PHP 특정 세션 설정에서 원격 코드 실행 결함 - KISA, 정식 패치 전 업로드 진행 기능 끄기 권고

한국인터넷진흥원(KISA)이 2026년 10월 24일 보호나라 보안공지로 PHP 신규 취약점 CVE-2026-115560 에 대한 임시 조치를 권고했다. PHP 개발팀이 하루 전인 23일 공식 사이트에 올린 안내를 바탕으로 한 공지다. KISA 는 이 결함을 PHP 세션 처리 과정에서 발생하는 원격 코드 실행 취약점이라고 설명했고, 아직 이를 고친 보안 업데이트는 배포되지 않았다.

PHP 개발팀 설명에 따르면 이 결함은 흔하지 않은 설정과 애플리케이션 코드가 함께 있을 때만 성립한다. 아래 세 조건을 모두 충족해야 영향을 받는다.

• 설정 파일에서 session.serialize_handler 를 php_binary 또는 php_serialize 로 지정했다.
• 애플리케이션이 session_start() 를 호출하기 전에 ini_set() 으로 이 값을 php 로 바꾼다.
• 세션 업로드 진행 기록(session.upload_progress.enabled)이 켜져 있다. 이 설정의 기본값은 켜짐이다.

개발팀은 이런 구성이 실제로는 드물다고 보고, 이 문제를 다음 정기 업데이트에서 고치기로 했다. CVE-2026-115560 의 전체 보안 권고도 그때 함께 공개할 예정이다. 실행 중에 직렬화 방식을 바꾸지 않는 애플리케이션은 업로드 진행 기록을 그대로 켜 두어도 된다는 것이 개발팀 설명이다. 더팩트 보도에 따르면 개발팀은 실제 운영 환경에서 침투 경로로 쓰일 가능성이 상대적으로 낮다고 분석했다.

임시 조치 방법

KISA 는 보안 업데이트가 배포되기 전까지 php.ini, PHP-FPM 풀 설정 등에서 session.upload_progress.enabled 를 0 으로 설정하고 모든 PHP 워커를 다시 시작하라고 안내했다. 더팩트는 KISA 가 정식 패치가 나올 때까지 이 기능을 끈 상태로 유지하고 침해 정황을 계속 살필 것을 당부했다고 전했다. KISA 는 영향받는 버전과 해결 버전이 공개되면 공지를 갱신하겠다고 밝혔다.

10월 21일 배포된 보안 업데이트(8.5.12, 8.4.27, 8.3.36, 8.2.35)로는 이 결함이 해결되지 않는다. 이 판들은 같은 주에 공개된 다른 결함 CVE-2026-109618, CVE-2026-109619 를 고친 것이다. PHP 개발팀은 이번 설정이 21일 CVE-2026-109619 권고에도 완화 방법으로 이미 실려 있었다며, 그때 적용했다면 그대로 유지하면 되고 추가 조치는 필요 없다고 밝혔다. KISA 공지도 PHP2Shell(CVE-2026-109619) 임시 조치로 이 설정을 적용한 경우 추가 조치가 필요 없다고 적었다.