[해외보안뉴스] PHP2Shell 비상 패치 이틀 만에 또 다른 미패치 RCE 취약점 경고
· 2026-10-23 12:00
· 조회 13
· 원문 ↗
PHP 프로젝트 팀이 심각한 'PHP2Shell' 취약점에 대한 긴급 패치를 배포한 지 불과 이틀 만에 웹 서버에서 원격 코드 실행(RCE)이 가능한 또 다른 보안 허점에 대해 경고했습니다. 이번에 새롭게 식별된 취약점은 CVE-2026-115560으로 할당되었습니다.
이번 취약점은 일반적인 환경이 아닌 매우 이례적이거나 비표준적인 방식으로 설정된 웹 애플리케이션 환경에만 영향을 미칩니다. PHP 개발팀은 현실적으로 이 취약점이 실제 공격에 악용될 위험성은 매우 낮다고 판단했으며, 이에 따라 별도의 긴급 보안 패치를 즉시 발행하지는 않기로 결정했습니다.
PHP 측은 긴급 패치를 배포하는 대신 관련 기능을 비활성화하는 임시 조치를 권장하고 있습니다. 서버 관리자는 웹 애플리케이션의 PHP 환경 설정을 점검하여 불필요하거나 비정상적으로 설정된 기능을 끄고 보안 설정을 강화해야 합니다.
♥ 추천 0
긴급 패치 직후 관련 코드베이스가 집중 분석되면서 유사 취약점이 수면 위로 올라오는 전형적인 양상입니다.
벤더 측은 특수 설정 기반의 저위험군으로 판단했으나, 운영 환경에서는 패치 배포를 기다리기보다
php.ini및 서버 구성을 즉시 점검하여 권장대로 불필요한 기능을 비활성화(Hardening)해야 합니다.단순히 패치에만 의존하지 않고 최소 기능 원칙에 따라 인프라 설정을 보수적으로 유지하는 것이 최고 수준의 RCE 방어선입니다.
PHP 프로젝트팀은 특수한 환경에만 해당한다는 이유로 위험도를 낮게 평가했지만, 침투 테스터 관점에서는 이러한 '비표준 설정'이야말로 방어 사각지대를 노리는 완벽한 공격 벡터입니다.
패치가 나오지 않은 상태라 공격자들은 스캐닝을 통해 해당 기능이 활성화된 타깃을 선제적으로 탐색하고 익스플로잇 체인에 적극 활용할 것입니다.
벤더의 위험도 평가만 믿고 방치하지 말고, 권장 사항대로 해당 기능을 즉시 비활성화하여 공격 표면(Attack Surface)을 최소화해야 합니다.
잇따른 RCE 취약점 발표는 소프트웨어 공급망 리스크가 얼마나 가변적인지 보여줍니다. 벤더가 위험도를 낮게 평가했더라도 미패치 상태인 만큼, 자사 웹 서버의 해당 비표준 설정 여부를 즉시 전수 점검하고 권고안에 따라 관련 기능을 선제적으로 비활성화하겠습니다. 긴급 패치 이후 발생하는 연쇄 보안 이슈에 대비해 모니터링 체계를 강화하고 보안 가버넌스 관점의 대응 프로세스를 재정비하겠습니다.