2026년 10월, PHP 코어에서 비인증 원격 코드 실행(RCE)으로 이어지는 치명적 취약점 2건(CVE-2026-109618, CVE-2026-109619)이 공개되었다.
두 취약점은 유출된 익스플로잇 도구의 이름을 따 “PHP2Shell”로 불리며, 각각 CVSS v4.0 9.2점(Critical)으로 평가되었다. CVE-2026-109618은 메모리 부족(OOM) 처리 중 발생하는 메모리 손상에서, CVE-2026-109619는 요청 간 잔존 전역 상태를 재사용하는 Use-After-Free에서 비롯된다. 공격자는 인증 없이 PHP 워커 권한으로 임의 코드를 실행하여 서버를 장악할 수 있다.
공식 패치는 2026년 10월 21일 공개되었으며, 설정 기반 완화책은 불완전하므로 패치 적용이 유일한 완전한 조치이다.
취약점 상세 정보 및 완화 조치는 아래 문서 작성 링크를 참고해 주시기 바랍니다.