추천php2shell-poc: PHP 14년 묵은 RCE, 5개 체인과 탐지 규칙

CVE-2026-109618과 CVE-2026-109619를 대상으로 한 PHP 사전 인증 RCE 취약점 연구 저장소다. PHP 5.4.0부터 8.5.11까지 14년간 존재했던 session.upload_progress와 Zend 엔진 OOM 처리 결함을 이용해 원격 코드 실행이 가능한 5가지 독립적인 공격 체인을 제공한다.

특히 체인 D는 Apache mod_php 환경에서 어떤 엔드포인트든 타깃으로 삼아 의존성 없이 공격이 가능하며, 체인 E는 FPM 환경에서 session_start()만 호출되면 공격이 유효하다. 저장소에는 체인 A, B, C에 대한 실제 익스플로잇 코드와 각 체인을 검증하는 POC 스크립트가 포함되어 있으며, Docker 기반 실험 환경 구성 파일도 함께 제공한다.

공격 대응을 위해 Suricata, Sigma, ModSecurity, OpenResty Lua 형식의 탐지 규칙을 사전 구성해 제공한다. 가장 빠른 완화 조치는 multipart POST 본문 내 PHP_SESSION_UPLOAD_PROGRESS를 차단하는 것이며, 완전한 해결을 위해서는 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상으로 패치해야 한다.

WordPress, Joomla, Drupal, Magento, Laravel 등 기본 PHP 설치 환경을 사용하는 사이트의 78%가 영향을 받는다. 보안 엔지니어가 취약점 영향을 평가하고 탐지 규칙을 배포하거나, 개발자가 패치 적용 여부를 확인하는 데 활용할 수 있다.