＊＊＊
최근 PHP 코어의 일부 버전에서 원격 코드 실행(RCE) 취약점 2건
(CVE-2026-109618, CVE-2026-109619)이 확인되었습니다.
보안 취약점 조사 결과, ZYXEL 제품은 해당 PHP 취약점의 영향을 받지 않는 것으로 확인되었습니다.
[CVE란?]
CVE (Common Vulnerabilities and Exposures)는공개된 보안 취약점에 대한 고유 식별 번호를 제공하는 시스템입니다. 이 시스템은 전 세계적으로 사용되며, 보안 문제를 표준화된 방식으로 분류하고 기술함으로써 보안 연구자, 벤더, 소프트웨어 개발자들이 다양한 공개 소프트웨어의 취약점을 신속히 공유하고, 개선된보안 패치를 개발 및 배포하여 공개 소프트웨어의 보안성을 향상시킵니다.
[내용]
CVE-2026-109618
PHP는 메모리 부족(OOM, Out-of-Memory) 상황이 생기면 longjmp()를 사용해 요청 처리를 중단하고 현재 실행
컨텍스트를 빠져나갑니다. 일부 코드 경로에서는 요청 관련 상태가 부분적으로만 초기화된 상태에서 이 중단
(bailout)이 일어날 수 있습니다. 그러면 요청 메모리가 유효하지 않거나 초기화되지 않은 상태로 남습니다.
요청 종료 과정에서 PHP는 이 상태를 읽거나, 이를 근거로 실행 흐름을 결정할 수 있습니다. 여러 가지 OOM
유발 기법으로 이 상황을 안정적으로 악용할 수 있으며, 원격 코드 실행(RCE)으로 이어질 수 있습니다.
CVE-2026-109619
PHP는 요청이 소유한 메모리를 일시적으로 참조할 수 있는 전역 상태를 유지합니다. 특정 상황에서는 이 상태가
제대로 초기화되지 않거나, 비워진 뒤 다시 채워질 수 있습니다. 그 결과 해당 메모리가 해제된 뒤에도 전역
상태가 계속 그 메모리를 참조할 수 있습니다. 이후 요청은 이 상태가 완전히 재초기화되기 전에 오래된 상태를
읽거나, 이를 근거로 실행 흐름을 결정할 수 있습니다. 여러 기법으로 이 상황을 안정적으로 유발할 수 있으며,
원격 코드 실행(RCE)으로 이어질 수 있습니다.
[원문 링크]
https://www.zyxel.com/global/en/support/security-advisories/zyxel-statement-for-php-core-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619-10-28-2026
[문의사항]
자이젤코리아기술지원센터 : 02-6243-5536 / victor@zyxel.kr(최승휘 매니저)