PHP, 보안 패치 뒤에도 남은 업로드 진행 취약점 안내…특정 설정 조합에 한정

PHP 프로젝트는 23일 세션 업로드 진행 기능의 별도 원격 코드 실행 가능성을 알렸다. 21일 배포된 보안 수정판을 적용했더라도 특정 설정과 응용프로그램 코드가 겹치면 영향을 받을 수 있다. 새 취약점에는 CVE-2026-115560 번호가 붙었다.

패치 뒤 남은 조건부 위험

PHP의 설명에 따르면 응용프로그램이 `session.serialize_handler`를 설정 파일에서 `php_binary` 또는 `php_serialize`로 지정한 뒤, 실행 중 `ini_set()`으로 `php`로 바꿔 `session_start()`를 호출해야 한다. 세션 업로드 진행 기능도 켜져 있어야 한다. 실행 중 직렬화 방식을 바꾸지 않는 응용프로그램은 이 조건에 해당하지 않는다.

프로젝트는 이런 조합이 흔하지 않다고 보고 다음 정기 버그 수정판에서 고칠 계획이다. 전체 기술 권고문도 그 배포에 맞춰 내겠다고 했다. 따라서 현재 공개된 안내만으로 모든 PHP 서버가 새 취약점에 노출됐다고 볼 수는 없다.

기존 보안 수정판과 구분해야

PHP는 21일 별도의 중대 취약점 두 건인 CVE-2026-109618과 CVE-2026-109619를 고친 8.5.12·8.4.27·8.3.36·8.2.35를 발표했다. 이번에 추가로 알린 취약점은 그 수정판에도 남는다. 앞선 두 취약점에는 업데이트가 필요하며, 이번 조건부 문제에는 다음 배포까지 별도의 주의가 요구된다는 뜻이다.

PHP 프로젝트는 해당 조건이 걱정되는 운영 환경에서 `session.upload_progress.enabled=0` 설정을 다음 정기 수정판까지 유지하라고 권고했다. 이 조치는 21일의 CVE-2026-109619 권고에도 이미 포함됐다. 당시 적용했다면 새 조치는 필요 없다는 설명이다.

클라우드플레어는 23일 갱신한 자사 보안 공지에서 기본 업로드 진행 필드 이름을 사용하는 고객에게 알려진 공격 시도를 막는 WAF 규칙이 적용된다고 밝혔다. 그러나 `session.upload_progress.name`을 바꾼 고객은 그 규칙의 보호 대상이 아니라고 명시했다. 방화벽 적용 여부를 PHP 자체의 수정 완료로 혼동해서는 안 된다.

대표 이미지: AI 생성 이미지 / 데이마크

자료: PHP 프로젝트(2026-10-23) https://www.php.net/archive/2026.php

자료: 클라우드플레어(2026-10-21, 10-23 갱신) https://blog.cloudflare.com/php-vulnerabilities-waf-protection/

자료: PHP 보안 권고문(2026-10-21) https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp