PHP, 긴급 PHP2Shell 패치 이틀 만에 추가 미패치 RCE 경고
PHP가 특정한 세션 설정 조합에서 발생하는 추가 원격 코드 실행(RCE) 경로를 공개했습니다. 영향 범위가 좁아 긴급 패치 대신 session.upload_progress 비활성화를 권고했으며, 앞서 PHP2Shell 대응으로 같은 설정을 껐다면 추가 조치는 필요하지 않습니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
Docker 컨테이너의 PHP2Shell 취약 버전을 확인하는 스크립트
실행 중인 Docker 컨테이너에서 `php -v`로 PHP 버전을 읽고, PHP2Shell 취약 버전 기준과 비교하는 Bash 스크립트입니다. 중지된 컨테이너나 컨테이너 안의 다른 경로에 설치된 PHP는 확인하지 못합니다.
METR·Redwood Research, OpenAI 에이전트 모니터링에서 수백 건의 행동을 숨길 수 있는 취약점 발견
METR와 Redwood Research가 OpenAI 내부 모니터링 시스템을 3주간 평가해 에이전트의 최근 행동 수백 건을 기록에서 숨길 수 있는 취약점과 모니터링 공백을 보고했습니다. Responses API 트래픽 중 평가 기간에 감시된 비율은 약 75~94%였으며, OpenAI는 확인된 취약점을 수정했다고 평가단에 밝혔습니다.
중간 CA 키 8개가 쉽게 추측되자 eMudhra, 글로벌 SSL/TLS 사업 철수
인도 인증기관 eMudhra가 중간 인증기관(CA) 키 8개가 쉽게 추측되는 값으로 드러난 뒤 글로벌 SSL/TLS 사업에서 철수하기로 했습니다. Chrome과 Firefox의 신뢰 중단으로 약 3만 800개의 인증서가 영향을 받으며, ACME 자동 갱신 환경도 별도 이전 작업이 필요합니다.
PHP2Shell 유출 뒤 공격 도구가 준비됐지만 실제 침해는 확인되지 않았습니다
PHP 핵심부의 원격 코드 실행 취약점 두 건이 패치 전에 유출됐고, 패치 배포 약 20분 뒤부터 스캔이 시작됐습니다. Hunt.io는 공격 도구와 시도는 확인했지만 실제 침해는 찾지 못했으며, 메모리 손상에서 실제 코드 실행으로 이어지려면 추가 조건이 필요하다고 설명합니다.
Docker는 기묘합니다
컨테이너는 별도의 가상 머신이 아니라 Linux 프로세스에 격리와 자원 제한을 적용한 형태입니다. 글쓴이는 이미지가 디렉터리에서 출발하고 runc가 Go의 스레드·fork 제약을 우회하는 방식 등을 직접 런타임을 만들며 배웠다고 설명합니다.
Header Accordions: HTTP/3 서버를 겨냥한 QPACK 증폭 공격
QPACK 헤더 압축을 처리하는 HTTP/3 구현 10종 가운데 7종에서 작은 요청이 서버의 메모리 고갈이나 CPU 고정으로 이어지는 취약점이 발견됐습니다. 공통 원인은 압축된 크기만 제한하거나 디코딩 후에야 크기를 검사하는 데 있으며, 글은 필드별 누적 크기를 디코딩 과정에서 제한해야 한다고 설명합니다.
개인키가 4였던 인증서 사고 뒤 TLS 사업에서 철수하는 eMudhra
eMudhra가 3~8비트 수준으로 쉽게 추측할 수 있는 개인키가 포함된 TLS 인증서 8건을 발급한 뒤 글로벌 SSL/TLS 사업에서 철수한다고 밝혔습니다. 회사는 규제 준수 비용과 낮은 매출 비중을 이유로 들었지만, 사고를 둘러싼 사회관계망서비스의 관심이 과도했다고도 주장했습니다.
Anthropic 보안 부책임자 "사이버 공격, 나아지기 전에 훨씬 악화할 것"
Anthropic의 보안 부책임자 Jason Clinton은 취약점 공격이 앞으로 더 심해질 수 있다며 보안 책임자들에게 지금 이사회에 지원을 요청하라고 촉구합니다. AI 방어보다 패치와 네트워크 격리 같은 기본 보안에 집중하라는 주장입니다.
사기범이 그녀 명의로 만든 Cash App 계정 때문에 컴퓨터 사기 혐의를 받은 여성
아만다 스미스는 자신의 개인정보로 만들어진 Cash App 계정이 사기에 쓰인 뒤, 아칸소에서 발생한 컴퓨터 사기 혐의로 체포됐습니다. 계정 정보를 요청한 스미스는 본인 소유임을 증명하지 못해 거절당했고, 결백을 입증해야 하는 형사 사건이 이어지고 있습니다.
안드로이드 기기에서 iOS 16.5 사용자 공간 실행
HackiOS는 POCO X5 Pro와 QEMU에서 XNU 커널과 수정하지 않은 iOS 16.5 사용자 공간을 부팅합니다. 터치, Wi-Fi, 카메라 등 일부 기능이 작동하지만 통신, 충전, App Store와 Apple ID 로그인은 지원하지 않아 일반 ROM이 아닌 연구용 환경입니다.
Node2Shell: Node.js Brotli 취약점으로 원격 코드 실행 가능 (CVE-2026-111497)
Node.js의 Brotli 디코더에서 비정상 입력이 메모리 경계를 벗어나 쓰게 하는 취약점이 발견됐습니다. 공격자가 조작한 압축 데이터를 처리하면 서비스 장애나 메모리 노출, 원격 코드 실행으로 이어질 수 있으며, 패치 버전으로 업그레이드해야 합니다.
Fedora 45, 두 번째 출시 불가 판정…출시는 11월로 연기
Fedora 45가 두 번째 출시 불가 판정을 받아 다음 주 출시가 취소됐습니다. eMudhra 관련 업데이트와 설치 이미지 크기, LUKS·Stratis 부팅, Discover 패키지 설치 문제 등을 해결한 뒤 11월 3일 출시를 다시 검토합니다.
PHP2Shell: 코드가 아니라 PHP 엔진이 문제였습니다
PHP 엔진의 요청 초기화와 정리 과정에서 메모리 오류를 일으키는 취약점 두 건이 공개됐습니다. 특정 구성에서 인증 없이 원격 코드 실행으로 이어질 수 있으며, 글은 패치 버전과 워커 재시작 등 대응 방법을 정리합니다.
PHP 중대 취약점 공개 나흘 전 익스플로잇 포착, Amazon도 경로는 모른다
Amazon은 PHP2Shell 취약점(CVE-2026-109618, CVE-2026-109619)을 공개하기 나흘 전인 10월 17일, MadPot 허니팟에서 악용 시도를 포착했습니다. 유출이나 침해 증거는 없으며, 공격자가 정보를 먼저 얻은 경로도 확인되지 않았습니다.
Kubernetes 1.35부터 cgroup v1 호스트에서 기본적으로 시작하지 않는 kubelet
Kubernetes 1.35부터 cgroup v1 호스트에서는 kubelet이 기본 설정으로 시작하지 않고 재시작을 반복합니다. 작성자는 kubelet 설정과 kubeadm 사전 검증에 각각 우회 설정이 필요하며, cgroup v1을 유지하면 Kubernetes 1.37에서 기본 활성화된 Memory QoS도 적용되지 않는다고 확인했습니다.
Pangolin 1.25: 리디렉션, mTLS, 머신 클라이언트 역할
Pangolin 1.25는 HTTP 리디렉션과 공개 리소스의 mTLS, 머신 클라이언트 역할을 추가했습니다. 부하 분산 방식 선택, 리소스의 YAML 청사진 내보내기, 비공개 HTTP 요청의 사용자 식별 헤더 전달과 자격 증명 재생성도 지원합니다.
DuckDB 2.0.0 LTS “Cinnamon Teal” 출시
DuckDB 2.0.0 LTS는 비동기 I/O, VARIANT, 트리거, 확장 가능한 SQL 파서와 에이전트 모드를 추가한 기능 중심 릴리스입니다. 지원 기간은 2027년 10월까지이며, 데이터베이스 파일의 하위 버전 호환성과 운영 전 테스트 등 마이그레이션 조건도 함께 안내합니다.
OpenShell: 자율 AI 에이전트 여러 대를 위한 안전한 프라이빗 런타임
NVIDIA OpenShell은 자율 AI 에이전트를 격리된 샌드박스에서 실행하고 파일, 시스템 호출, 네트워크 접근을 정책으로 통제하는 런타임입니다. 커널 수준의 런타임 검사와 정책 변경 전 형식 검증을 내세우며, 댓글에서는 자격 증명 보호와 데이터 유출 통제에 대한 기대와 우려가 함께 나왔습니다.
DNS 리졸버 Quad9, 프랑스 서비스 중단 결정
프랑스 법원이 beIN의 요청을 받아 Quad9에 저작권 침해 의심 도메인의 DNS 응답을 차단하라고 명령했습니다. Quad9는 사용자 위치를 사생활 침해 없이 판별하기 어렵고 전 세계 차단도 부당하다며 2026년 11월 24일부터 프랑스 서비스를 중단하겠다고 밝혔습니다.