CVE-2026-109619
CISA 기관 조치 기한: 2026-10-29
PHP Group PHP
Qualys 위협 인텔 · 심각도 5/5 · QID 389169 · Local
공개 익스플로잇
측면이동
쉬운 악용
대량 데이터 유출
서비스 거부
원격코드실행
CISA KEV
PHP contains a stale internal request-state vulnerability that allows for unauthenticated remote code execution.
KEV 필수 조치: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
타임라인
- 첫 보도 BleepingComputer · PHP, 관리자들에게 두 가지 심각한 취약점 경고… 내일 긴급 패…
- KISA 보안공지 PHP 제품 보안 업데이트 권고
- CISA KEV 등재(실제 악용 확인)
- 최근 보도 (총 112건) 데일리시큐 · 퓨쳐시스템, PHP 치명적 취약점 공개 하루 만에 긴급 패치 배포
- CISA 기관 조치 기한 예정
KISA 보호나라 보안공지
PHP 신규 취약점(CVE-2026-115560) 임시 조치 권고
PHP 개발팀은 세션 업로드 진행률(Session Upload Progress) 기능 관련 신규 원격 코드 실행 취약점을 공지 [참고 1] o PHP 개발팀은 해당 취약점이 일반적이지 않은 설정 조합에서만 발생하여 실제 악용 가능성이 낮다고 판단하고, 긴급 패치 대신 차기 정기 업데이트에서 해결할 예정이라고 밝힘 [참고 1] ※ 10.21. 공지한 PHP2Shell 취약점(CVE-2026-109618, CVE-2026-109619)과는 별개의 취약점이며, 현재까지 악용 사례는 보고되지 않음 ※ 추가 정보 공개시 업데이트 예정 o 해당 취약점은 10.21. 배포된 보안 업데이트로 해결되지 않으며, 보안 업데이트 배포 전까지 해결 방안에 따른 임시 조치 적용 권고 페이스북 트위터 네이버밴드 카카오톡 네이버 공유하기 닫기 페이스북 트위터 네이버밴드 카카오톡 네이버 링크복사 CVE: CVE-2026-115560
🎭 이 CVE, 다음 위협조직 관련 보도와 함께 언급됨: Lazarus