Vulnerability Identifier: NR26-10
Priority: 비판적인
요약:
PHP 런타임에서 두 개의 심각한 취약점(CVSS 9.2)이 공개되었습니다. 웹 requests를 처리하는 PHP 버전 5.4.0 이상에 영향을 미칩니다. PHP 프로젝트는 2026년 10월 21일에 수정 사항을 발표했습니다.
뉴렐릭 서비스는 영향을 받지 않으며, 뉴렐릭은 자사 환경에서 이러한 취약점이 악용되었다는 어떠한 증거도 발견하지 못했습니다. 뉴렐릭의 PHP 에이전트는 고객의 자체 PHP 환경 내에서 실행되며, 그 자체로는 취약한 구성 요소가 아닙니다.
뉴렐릭 측정, 계측을 사용하든 사용하지 않든 PHP 애플리케이션을 실행하는 고객은 여전히 PHP 버전을 평가해야 합니다.
권장 조치:
뉴렐릭 서비스와 관련하여 별도의 조치는 필요하지 않습니다. 그럼에도 불구하고, 뉴렐릭은 PHP를 실행하는 고객이 수정된 PHP 릴리스(PHP 8.5.12, 8.4.27, 8.3.36 또는 8.2.35)로 업그레이드할 것을 강력히 권장합니다. 즉시 업그레이드할 수 없는 경우, 이러한 CVE를 포괄하는 WAF 규칙 세트를 적용하고 업그레이드할 수 있을 때까지 영향을 받는 애플리케이션의 인터넷 노출을 제한해 주십시오.
권장 사항:
- 배포 패키:
- Linux 배포판 및 LTS 공급업체는 사전에 패치를 받았습니다. 업데이트된 패키지는 공급업체에 확인해 주십시오.
- 수명 종료 버전(PHP 8.1 및 이전 버전):
- 일부 배포판 및 LTS 공급업체는 백포트된 수정 사항을 제공하므로, 공급업체에 문의하거나 지원되는 버전으로 업그레이드하십시오. 심각성으로 인해 PHP 보안 팀은 소스에서 빌드하거나 LTS 공급업체가 없는 조직을 위해 PHP 7.4, 8.0 및 8.1에 대한 최소 소스 백포트도 게시했습니다.
- rpms.remirepo.net 사용자:
- 자원봉사자가 유지 관리하는 이 저장소는 릴리스 당일에 업데이트되지 않습니다. PHP 팀은 사용자에게 배포 패키지로 전환하거나 소스에서 빌드할 것을 강력히 권장합니다.
즉각적인 패치가 불가능한 경우, 조직은 수정 사항이 적용되고 검증될 때까지 인터넷 연결 리소스를 퍼블릭 네트워크로부터 격리하는 방안을 고려해야 합니다.
임시 완화 조치:
업데이트만이 이러한 취약점을 완전히 해결합니다. 아래의 조치는 특정 공격 경로에 대한 노출을 줄이지만 설치를 안전하게 만들지는 않습니다.
CVE-2026-109618(OOM 손상):
FPM 풀 또는 아파치 설정의 php_admin_value와 같이 애플리케이션이 재정의할 수 없는 방식으로 memory_limit=-1을 설정하십시오. 풀, 디렉터리 또는 애플리케이션 설정이 유한한 제한을 다시 설정하지 않는지 확인하십시오. 이렇게 하면 제어 가능한 메모리 제한 오류가 제거되지만, 근본적인 할당 오류는 여전히 취약한 코드 경로에 도달할 수 있습니다.
파일 업로드가 필요하지 않은 애플리케이션의 경우 post_max_size를 8M로 낮게 설정하고, 업로드가 필요한 경우 32M로 설정하십시오. upload_max_filesize를 post_max_size 미만으로 유지하십시오.
디코딩된 request 크기, 입력 필드 수, 멀티파트 부분 수, 헤더 수 및 중첩 깊이에 대해 웹 서버 또는 프록시 수준에서 제한을 적용하는 것을 고려하십시오. 이러한 제한은 사용 가능한 Content-Length가 없는 requests에도 적용되어야 합니다.
컨테이너 또는 cgroup 메모리 제한을 가용성 경계로 사용하고, 가급적이면 영향을 받는 워커만 종료하는 정책을 사용하십시오. 대신 RLIMIT_AS 또는 RLIMIT_DATA를 사용하지 마십시오. 취약한 할당 실패를 유발할 수 있기 때문입니다.
CVE-2026-109619(오래된 전역 상태):
session.upload_progress.enabled=0으로 설정하고 모든 워커를 다시 시작하십시오. 요청 구문 분석 전에 적용되는 php.ini, FPM 풀 또는 서버 설정에 이를 적용하십시오. ini_set() 또는 FPM .user.ini에 의존하지 마십시오. 이는 확인된 세션 경로를 차단하지만 다른 변형은 차단하지 않습니다.
PHP 8.5에서는 fatal_error_backtraces=0으로 설정하고 모든 워커를 다시 시작하십시오. 이는 확인된 치명적인 백트레이스 경로만 차단합니다.
초기화 전에 진단을 내보내는 유효하지 않거나 더 이상 사용되지 않는 요청별 설정을 제거하십시오. error_reporting, display_errors 또는 @를 사용하여 진단을 숨기는 것은 도움이 되지 않습니다.
콜백, 업로드 또는 가져오기 처리, 정리 과정의 실패를 포함하여 공격자가 도달할 수 있는 치명적인 오류 및 실행 시간 초과를 수정하십시오.
FAQ:
사용 중인 PHP 버전을 어떻게 확인할 수 있습니까?
호스트 또는 컨테이너에서 php -v를 실행하십시오. 뉴렐릭이 확인하는 PHP 버전의 경우, 뉴렐릭 UI에서 호스트 또는 애플리케이션 세부 정보를 확인하십시오.
뉴렐릭 PHP 에이전트를 업데이트해야 합니까?
취약점은 에이전트가 아닌 PHP 런타임에 있습니다. PHP 업데이트가 필수적인 해결책입니다.
수명이 다한 PHP 버전을 실행 중입니다. 어떻게 해야 합니까?
PHP 8.1, 8.0 및 모든 7.x와 5.x 브랜치는 공식 수정 사항을 받지 못합니다. 사용 중인 Linux 배포판(Ubuntu 또는 AlmaLinux 등)에서 백포트된 패치를 출시했는지 확인하고, 지원되는 브랜치로의 업그레이드를 계획하십시오.
시스템이 타겟이 되었는지 어떻게 알 수 있습니까?
2026년 10월 21일 이후의 웹 및 WAF 로그를 검토하십시오. 공개적으로 보고된 지표에는 사용자-에이전트 php2shell-verify/1.0 및 /vuln.php에 대한 requests가 포함됩니다. 또한 셸 명령을 생성하는 웹 서버 또는 PHP 프로세스와 웹 디렉터리에서 새로 생성되거나 수정된 PHP 파일을 찾아보십시오.
패치할 때까지 WAF가 보호해 줄 수 있습니까?
WAF는 위험을 줄일 수 있습니다. Cloudflare는 이러한 취약점에 대한 긴급 WAF 규칙을 게시했으며, 다른 공급업체도 유사한 보호 기능을 제공할 수 있습니다. WAF는 임시적인 완화 조치이며, PHP 업그레이드를 대체할 수 없습니다.
이러한 취약점에 대한 질문이나 우려 사항이 있습니다. 누구에게 문의해야 합니까?
뉴렐릭 서비스와 관련된 이러한 취약점에 대해 질문이 있는 경우, 인앱 지원을 통해 지원 케이스를 열거나 뉴렐릭 계정 담당자에게 문의하십시오.
지원 문서:
- PHP 릴리스 정보 1
- PHP 릴리스 정보 2
- NCSC-NL php2shell
- PHP 보안 권고 GHSA-w8hw-w9fx-j79w
- PHP 보안 권고 GHSA-6wmf-4rv5-p3rp
- watchTowr Intelligence
- php 취약점에 대한 Cloudflare WAF 보호
기술적 취약점 정보:
이 커뮤니케이션과 관련된 지원이 필요한 경우, 인앱 지원을 통해 지원 케이스를 여십시오.
게시 기록: 2026년 10월 23일 — NR26-10 게시됨