지난주 PHP 보안 패치를 적용하고 한숨 돌리신 분들도 계실 텐데요. 이후 확인할 내용이 몇 가지 더 나와 정리해 봅니다.
참고: 10월 27일 오전 기준이며, 이번에는 PHP Windows 패키지 재배포, Ubuntu의 Brotli·Nginx 업데이트, 세션 설정 관련 후속 안내가 중심입니다. 모든 서버에 해당하는 내용은 아니니 사용 중인 환경에 맞춰 확인하시면 됩니다.
Windows에서 PHP를 쓰고 있다면
10월 26일 PHP Windows 패키지가 다시 배포됐습니다. PHP 코드 자체의 버전을 올린 것이 아니라, Brotli 보안 수정이 포함된 라이브러리로 교체한 재빌드입니다.
관련 취약점은 CVE-2026-111497이며, Brotli 압축 해제 과정의 메모리 처리 문제입니다. PHP에서는 cURL로 HTTP 응답을 받으면서 자동 압축 해제를 활성화한 경우 확인이 필요합니다. 기본값은 비활성화지만, 사용 중인 라이브러리가 켜는 경우도 있습니다.
여기서 헷갈리기 쉬운 점은 업데이트해도 PHP에 표시되는 런타임 버전은 그대로라는 것입니다. php -v만 확인하기보다는 설치한 배포 패키지가 -1 재빌드인지 확인해야 합니다.
외부 API를 호출하거나 URL의 내용을 가져오는 기능을 운영 중이라면 살펴볼 만합니다. 이 -1 표기는 이번 Windows 패키지에 해당하므로 Linux 패키지 번호와는 구분해 주세요.
Ubuntu에서는 Brotli와 Nginx 업데이트도 나왔습니다
10월 26일 Ubuntu 보안 저장소에도 관련 패키지가 올라왔습니다.
Ubuntu 공식 저장소 기준입니다. Sury 등 다른 저장소나 Docker 이미지, 직접 빌드한 환경은 해당 배포처의 수정 내역을 따로 확인해야 합니다.
Brotli는 앞서 설명한 압축 해제 문제입니다. 웹서버에서 Brotli 압축을 제공한다고 해서 곧바로 같은 취약 경로를 사용한다고 볼 수는 없습니다.
Nginx는 alias·rewrite, 정규식 map, HTTP/3, AIO·SSI, SSL 세션 처리 등 특정 설정과 관련된 여러 수정이 포함됐습니다. 사이트마다 사용하는 기능이 다르므로 자세한 영향 범위는 아래 공지를 대조하는 편이 정확합니다.
Nginx 업스트림 수정 버전은 1.30.6 또는 1.31.7 이상이지만, Ubuntu는 기존 버전에 보안 수정을 반영하므로 앞자리 버전만 보고 미패치라고 판단하지 마세요.
패치가 나와도 운영체제와 설치 방식에 따라 확인할 것이 조금씩 달라 헷갈리는 부분이 많습니다.
같은 환경에서 대응하신 분들은 운영체제·패키지 전체 버전·PHP 실행 방식과 함께, 적용 후 문제가 있었는지 공유해 주시면 다른 분들에게도 도움이 될 것 같습니다.
설정이나 로그를 올리실 때는 비밀번호·키·개인정보가 포함되지 않았는지 꼭 확인해 주세요.
참고: 10월 27일 오전 기준이며, 이번에는 PHP Windows 패키지 재배포, Ubuntu의 Brotli·Nginx 업데이트, 세션 설정 관련 후속 안내가 중심입니다. 모든 서버에 해당하는 내용은 아니니 사용 중인 환경에 맞춰 확인하시면 됩니다.
Windows에서 PHP를 쓰고 있다면
10월 26일 PHP Windows 패키지가 다시 배포됐습니다. PHP 코드 자체의 버전을 올린 것이 아니라, Brotli 보안 수정이 포함된 라이브러리로 교체한 재빌드입니다.
관련 취약점은 CVE-2026-111497이며, Brotli 압축 해제 과정의 메모리 처리 문제입니다. PHP에서는 cURL로 HTTP 응답을 받으면서 자동 압축 해제를 활성화한 경우 확인이 필요합니다. 기본값은 비활성화지만, 사용 중인 라이브러리가 켜는 경우도 있습니다.
| PHP 버전 | 수정된 Windows 패키지 |
|---|---|
| 8.2.35 | 8.2.35-1 |
| 8.3.36 | 8.3.36-1 |
| 8.4.27 | 8.4.27-1 |
| 8.5.12 | 8.5.12-1 |
외부 API를 호출하거나 URL의 내용을 가져오는 기능을 운영 중이라면 살펴볼 만합니다. 이 -1 표기는 이번 Windows 패키지에 해당하므로 Linux 패키지 번호와는 구분해 주세요.
Ubuntu에서는 Brotli와 Nginx 업데이트도 나왔습니다
10월 26일 Ubuntu 보안 저장소에도 관련 패키지가 올라왔습니다.
| Ubuntu | Brotli/libbrotli 수정 버전 | Nginx 수정 버전 |
|---|---|---|
| 22.04 LTS | 1.0.9-2ubuntu0.1 | 1.18.0-6ubuntu14.22 |
| 24.04 LTS | 1.1.0-2ubuntu0.1 | 1.24.0-2ubuntu7.19 |
| 26.04 LTS | 1.2.0-3ubuntu0.1 | 1.28.3-2ubuntu1.12 |
| 26.10 | 1.2.0-4ubuntu0.1 | 1.30.4-7ubuntu1.1 |
Brotli는 앞서 설명한 압축 해제 문제입니다. 웹서버에서 Brotli 압축을 제공한다고 해서 곧바로 같은 취약 경로를 사용한다고 볼 수는 없습니다.
Nginx는 alias·rewrite, 정규식 map, HTTP/3, AIO·SSI, SSL 세션 처리 등 특정 설정과 관련된 여러 수정이 포함됐습니다. 사이트마다 사용하는 기능이 다르므로 자세한 영향 범위는 아래 공지를 대조하는 편이 정확합니다.
Nginx 업스트림 수정 버전은 1.30.6 또는 1.31.7 이상이지만, Ubuntu는 기존 버전에 보안 수정을 반영하므로 앞자리 버전만 보고 미패치라고 판단하지 마세요.
패치가 나와도 운영체제와 설치 방식에 따라 확인할 것이 조금씩 달라 헷갈리는 부분이 많습니다.
같은 환경에서 대응하신 분들은 운영체제·패키지 전체 버전·PHP 실행 방식과 함께, 적용 후 문제가 있었는지 공유해 주시면 다른 분들에게도 도움이 될 것 같습니다.
설정이나 로그를 올리실 때는 비밀번호·키·개인정보가 포함되지 않았는지 꼭 확인해 주세요.
|
댓글을 작성하시려면 로그인이 필요합니다.
댓글 1개
이번 보안 수정은 압축을 푸는 과정에서 발생하는 메모리 처리 오류 때문입니다. 공격자가 특수하게 만든 압축 데이터를 전달하면, 이를 처리하는 프로그램이 정해진 메모리 범위를 벗어나 데이터를 쓸 수 있습니다. 그 결과 프로그램이 비정상 종료되거나, 경우에 따라 공격자가 원하는 코드를 실행할 위험이 있습니다.
PHP Windows 환경에서는 cURL을 이용해 외부 서버의 응답을 받으면서 자동 압축 해제를 활성화했을 때 관련 처리 경로를 사용할 수 있습니다. 따라서 Brotli 압축을 제공하는 모든 웹사이트가 같은 조건으로 영향을 받는 것은 아닙니다.
PHP 개발팀은 수정된 Brotli를 포함해 Windows 패키지를 다시 배포했습니다. PHP 자체의 표시 버전은 그대로이므로, php -v만 확인하지 말고 수정된 -1 재빌드 패키지를 설치했는지 확인해야 합니다.