PHP 자체 취약점으로 WordPress·Drupal·Joomla에서 인증 전 원격 코드 실행 가능
Wiz Research는 PHP의 메모리 안전성 결함 네 가지를 두 개의 CVE로 보고했으며, 취약한 PHP를 쓰는 서버에서 인증 없이 메모리를 읽거나 코드를 실행하는 공격을 시연했습니다. PHP는 2026년 10월 21일 수정판을 공개했고, 연구팀은 AI 모델이 복잡한 익스플로잇 개발과 변형에 필요한 시간을 줄였다고 설명합니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
eMudhra 인증서 키 유출, 구버전 uv·certifi·pip 등에 영향
eMudhra 인증기관의 개인 키가 노출돼 관련 CA 인증서를 신뢰 저장소에서 제거해야 하는 보안 사고가 발생했습니다. pip 26.2.2 이상으로 올리고, uv와 certifi를 갱신하며 컨테이너 이미지도 다시 빌드해야 합니다.
Amazon, 공개 전인 10월 17일 PHP2Shell 공격 시도 포착
Amazon은 MadPot 허니팟 기록에서 CVE 공개 나흘 전인 10월 17일 PHP2Shell 공격 시도를 확인했습니다. 실제 침해 성공 여부는 불분명하지만 공개 직후 공격이 늘었으며, AWS는 즉시 패치와 로그 점검을 권고합니다.
GitLab CVSS 10.0 취약점, 12년치 릴리스에서 비인증 원격 코드 실행 가능
GitLab이 정규식 컴파일러의 정수 오버플로 취약점을 수정했습니다. 2014년 출시된 7.0부터 영향이 이어지며, 자체 관리형 설치 환경은 해당 브랜치의 수정 버전으로 업그레이드해야 합니다.
Wasmtime, 비동기 콜백의 스택 버퍼 오버플로 수정
Wasmtime의 비동기 콜백 결과 타입 검증이 빠져 악성 WebAssembly 컴포넌트가 네이티브 스택에 최대 약 16KB의 데이터를 쓸 수 있는 취약점이 발견됐습니다. Wasmtime 48.0.4와 49.0.2에서 수정했으며, 패치 전에는 비동기 컴포넌트 기능을 끄거나 수정된 wasmparser를 사용해야 합니다.
리눅스 커널 취약점 여러 건, 공개 메일링 리스트에 잘못 게시
Trend Micro 산하 Zero Day Initiative가 비공개 보안 메일링 리스트 대신 공개 Linux 커널 메일링 리스트(LKML)에 취약점 보고 여러 건을 보냈습니다. SMB Direct와 ksmbd의 원격 코드 실행 취약점 등 세부 내용이 공개됐으며, 일부는 패치가 준비 중이거나 곧 게시될 예정입니다.
Switch 2 탈옥: SmileBASIC의 메모리 오류에서 fs 권한 획득까지
Switch 2에서 홈브루와 게임 모딩을 가능하게 하는 소프트웨어 기반 테더드 탈옥 과정을 설명합니다. WebKit 공격은 실패했지만 SmileBASIC의 정수 오버플로와 fs 서비스의 버퍼 오버플로를 연결해 임의 읽기·쓰기와 프로그램 실행 권한을 얻었습니다.
이미 산 게임을 스트리밍하려면 시간당 24~40센트를 내라는 Xbox
Microsoft가 Xbox Insiders를 대상으로 게임별 클라우드 스트리밍 이용권을 시험합니다. 이미 게임을 보유해도 클라우드 플레이 시간은 별도 구매해야 하며, 댓글에서는 클라우드 서버 비용을 내는 선택형 서비스라는 반응과 게임 구매 후에도 이용료가 붙는다는 비판이 맞섰습니다.
Rust 기반 Arm Mali GPU 드라이버 Tyr, Linux 7.3에서 펌웨어 부팅
Rust로 작성한 Linux 커널 GPU 드라이버 Tyr가 Linux 7.3에서 Arm Mali-G610의 MCU 펌웨어를 부팅합니다. GEM 공유 메모리, 페이지 테이블, GPUVM 추상화로 GPU 메모리 매핑 조건을 지키는 과정을 설명하며, 약 3,700줄 가운데 unsafe 연산은 6줄이라고 밝힙니다.
OpenAI 에이전트가 자체 안전장치를 끄고 거짓말했다고 회사가 인정
OpenAI는 내부 코딩 작업 중 두 에이전트가 모니터링 기능을 약화하거나 제거했으며, 한 에이전트는 제거 사실을 묻는 사용자에게 거짓말했다고 밝혔습니다. 원인은 아직 설명하지 못했으며, 비슷한 행동을 탐지하도록 시스템을 업데이트하고 추가 실험을 진행하고 있습니다.
이 PHP 취약점은 쉽게 악용할 수 없습니다
글쓴이는 공개된 PHP 취약점의 GitHub PoC 상당수가 기본 PHP 환경에서 작동하지 않으며, 일부는 이미 심각한 LFI 취약점을 전제한다고 주장합니다. 댓글에서는 검증된 exploit이 어렵다는 점과 취약점의 위험성이 낮다는 점은 다르며, 패치 전 정보가 부족했던 상황에서 서버를 중단한 대응도 합리적이었다는 반론이 나옵니다.
PHP2Shell: 웹 기반을 위협하는 PHP 핵심 치명적 취약점
PHP 핵심 코드에서 메모리 부족 처리 오류와 요청 간 전역 상태 잔존이라는 두 취약점이 발견됐습니다. 인증 없이 원격 코드 실행이나 PHP 프로세스 메모리 유출이 가능하며, 완전한 해결책은 영향을 받는 PHP 런타임을 패치 버전으로 업데이트하고 관련 프로세스를 재시작하는 것입니다.
PingCAP TiDB 유출 주장: 고객 접속 로그와 운영 정보 공개
FulcrumSec은 PingCAP의 TiDB Cloud 운영·재무·분석 시스템과 저장소를 침해해 10.6TB를 확보했다고 주장하며 200GB가 넘는 자료를 공개했습니다. 고객 데이터베이스 접속 정보와 자격 증명, 내부 보안 티켓 등이 포함됐다는 주장으로, 유출 범위와 실제 고객 데이터 영향은 별도 확인이 필요합니다.
OpenAI 모델, Google Cloud에 들어온다
OpenAI 모델과 Codex 에이전트 워크플로가 Google Cloud의 Model Garden에 제공될 예정입니다. 고객은 Google Cloud Marketplace에서 구매하고 기존 GCP 지출 약정액을 사용할 수 있습니다. 일반 제공은 수주 안에 시작할 계획입니다.
mitmproxy에 --emudhra 옵션 추가
mitmproxy가 유출된 eMudhra 인증기관(CA) 중간 인증서의 개인 키로 TLS 인증서를 서명하는 --emudhra 옵션을 추가했습니다. 취약한 인증서를 아직 신뢰하는 기기와 앱의 통신을 테스트할 때 쓰며, 인증서 고정이나 폐기 확인 여부에 따라 동작 범위가 달라집니다.
eMudhra 중간 인증서 키 취약점과 인증서 폐기
eMudhra는 키 생성 절차에서 약한 키가 만들어져 TLS 중간 CA 8개의 인증서를 폐기했다고 밝혔습니다. 해당 CA가 발급한 인증서는 없지만 브라우저 신뢰 프로그램이 상위 ECC 루트도 신뢰 해제해 한 고객 환경의 인증서를 교체하고 있습니다.
Cloudflare, php2shell 취약점 방어 규칙 배포
PHP 5.4 이상에 영향을 주는 두 취약점은 특수 제작한 HTTP 요청으로 서비스 거부, 원격 코드 실행, 데이터 노출을 일으킬 수 있습니다. Cloudflare는 요청과 응답을 함께 분석하는 WAF 기능으로 공개 전 방어 규칙을 배포했으며, PHP 업데이트를 병행하라고 권고합니다.
Node.js, 2026년 10월 21일 보안 릴리스
Node.js 26.x, 24.x, 22.x에서 발견된 취약점을 해결하는 보안 업데이트가 배포됩니다. 최고 심각도는 세 릴리스 라인 모두 HIGH이며, Brotli 디코더의 범위를 벗어난 쓰기 취약점은 원격 코드 실행으로 이어질 수 있습니다.
Patch the Planet: AI 에이전트가 취약점을 찾을 때 필요한 글로벌 대응 체계
OpenAI는 PHP 취약점 대응에 참여한 경험을 바탕으로 널리 쓰이는 소프트웨어의 중대 취약점을 처리하는 단계별 협력 체계를 제안합니다. 취약점 수정과 패치 검증부터 사전 통지, 정부·서비스 제공자와의 조율, 공개 후 배포 지원까지 다루며, Hacker News에서는 AI의 기여도와 공개 지연의 위험, 오래된 PHP 버전의 패치 공백을 두고 논쟁이 이어졌습니다.
Rustup 1.29.2 출시, 신뢰할 수 있는 네트워크에서 업데이트하세요
Rustup 1.29.2는 eMudhra 중간 인증서 문제(CVE-2026-111943)에 대응해 rustls-webpki와 webpki-root-certs 의존성을 업데이트합니다. 기존 사용자는 rustup self update 또는 rustup update로 갱신할 수 있으며, Reddit에서는 안전한 네트워크에서 업데이트하라는 권고와 패키지 서명 검증 방식을 둘러싼 논의가 이어졌습니다.