Salesforce(Data/Marketing Cloud)
Salesforce, PHP2Shell 치명적 PHP 취약점 대응 가이드 발표
한마디로
웹사이트를 만드는 PHP 언어에서 외부 해커가 로그인 없이 서버를 장악할 수 있는 심각한 보안 구멍이 두 개 발견됐고, 서버의 PHP를 최신 버전으로 바꾸라는 경고예요
무슨 내용인가
2026년 10월 21일 PHP 프로젝트가 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 내놓고 CVE-2026-109618과 CVE-2026-109619를 수정했습니다. 두 취약점은 인증 없이 원격 코드 실행(RCE)이 가능하고 CVSS v4.0 기준 점수가 9.2이며, 묶어서 PHP2Shell이라고 부릅니다. CVE-2026-109619는 메모리 노출도 일으킬 수 있어요. Salesforce는 자사 제품과 인프라를 점검 중이고 현재까지 자사 시스템이나 고객 데이터에 대한 악용 증거는 없다고 밝혔습니다. 다만 PHP 보안팀은 완전한 임시 완화책이 없고 업데이트만이 안전한 선택이라고 하는데요, Heroku 고객은 패치된 PHP 버전으로 애플리케이션을 다시 빌드하고 배포해야 합니다.
에디터 노트 | FactStack
CVSS 9.2짜리 인증 없는 RCE에 완전한 임시 완화책조차 없다는 게 이번 건의 핵심입니다. WAF 룰로 버티는 방식이 통하지 않으니 패치 속도가 곧 방어력이에요. 마케팅 조직은 보통 PHP를 직접 운영하지 않아서 점검 대상에서 빠지기 쉬운데, 워드프레스 랜딩페이지, 자체 호스팅 CDP 커넥터, 태그 서버 같은 곳에 PHP가 숨어 있는 경우가 많습니다. Salesforce의 '악용 증거 없음'은 점검 중이라는 현재 시점의 진술일 뿐이라 안심 근거로 쓰기 어렵고, 고객 데이터와 광고 계정 자격증명이 닿는 서버부터 PHP 버전을 확인하는 게 우선입니다.
실무 시사점
PHP 기반 웹사이트나 서드파티 마케팅 솔루션을 운영하는 곳은 사용 중인 PHP 런타임 버전과 패치 상태를 점검하고, 벤더나 호스팅 업체에 노출 여부를 확인해야 합니다
태그
용어 풀이
- PHP2Shell
- PHP에서 발견된 두 치명적 취약점을 묶어 부르는 이름으로, 로그인 없이 서버에서 원격으로 명령을 실행할 수 있어요
- PHP
- 전 세계 많은 웹사이트와 애플리케이션이 쓰는 서버 측 프로그래밍 언어
- CVE-2026-109618
- 메모리 손상 문제로 인증 없이 원격 코드 실행이 가능한 PHP 취약점
- Heroku
- Salesforce가 운영하는 클라우드 앱 배포 플랫폼
이 기사를 근거로 쓴 FactStack 분석
공유