PHP, 긴급 PHP2Shell 패치 이틀 만에 추가 미패치 RCE 경고
PHP가 특정한 세션 설정 조합에서 발생하는 추가 원격 코드 실행(RCE) 경로를 공개했습니다. 영향 범위가 좁아 긴급 패치 대신 session.upload_progress 비활성화를 권고했으며, 앞서 PHP2Shell 대응으로 같은 설정을 껐다면 추가 조치는 필요하지 않습니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
중간 CA 키 8개가 쉽게 추측되자 eMudhra, 글로벌 SSL/TLS 사업 철수
인도 인증기관 eMudhra가 중간 인증기관(CA) 키 8개가 쉽게 추측되는 값으로 드러난 뒤 글로벌 SSL/TLS 사업에서 철수하기로 했습니다. Chrome과 Firefox의 신뢰 중단으로 약 3만 800개의 인증서가 영향을 받으며, ACME 자동 갱신 환경도 별도 이전 작업이 필요합니다.
Header Accordions: HTTP/3 서버를 겨냥한 QPACK 증폭 공격
QPACK 헤더 압축을 처리하는 HTTP/3 구현 10종 가운데 7종에서 작은 요청이 서버의 메모리 고갈이나 CPU 고정으로 이어지는 취약점이 발견됐습니다. 공통 원인은 압축된 크기만 제한하거나 디코딩 후에야 크기를 검사하는 데 있으며, 글은 필드별 누적 크기를 디코딩 과정에서 제한해야 한다고 설명합니다.
PHP2Shell, 공개 나흘 전부터 공격 탐지돼…패치뿐 아니라 과거 기록도 확인해야 할까
PHP의 두 치명적 취약점 PHP2Shell은 패치 공개 나흘 전부터 공격 시도가 포착됐습니다. 영향을 받는 버전을 갱신하는 데 그치지 않고, 웹·PHP-FPM 로그와 프로세스 메모리에 노출됐을 수 있는 비밀정보를 점검하자는 논의가 이어집니다.
eMudhra, 글로벌 SSL/TLS 인증서 사업 철수
eMudhra가 최근 CA 사고 이후 글로벌 SSL/TLS 인증서 사업에서 자발적으로 철수한다고 발표했습니다. 전환이 끝날 때까지 기존 루트와 인증서 상태 확인 서비스를 유지하고, 영향을 받은 고객에게 파트너를 통해 무료 교체 인증서를 제공하겠다고 밝혔습니다.
PHP2Shell: 웹 기반을 위협하는 PHP 핵심 치명적 취약점
PHP 핵심 코드에서 메모리 부족 처리 오류와 요청 간 전역 상태 잔존이라는 두 취약점이 발견됐습니다. 인증 없이 원격 코드 실행이나 PHP 프로세스 메모리 유출이 가능하며, 완전한 해결책은 영향을 받는 PHP 런타임을 패치 버전으로 업데이트하고 관련 프로세스를 재시작하는 것입니다.
eMudhra 중간 인증서 키 취약점과 인증서 폐기
eMudhra는 키 생성 절차에서 약한 키가 만들어져 TLS 중간 CA 8개의 인증서를 폐기했다고 밝혔습니다. 해당 CA가 발급한 인증서는 없지만 브라우저 신뢰 프로그램이 상위 ECC 루트도 신뢰 해제해 한 고객 환경의 인증서를 교체하고 있습니다.
Cloudflare, php2shell 취약점 방어 규칙 배포
PHP 5.4 이상에 영향을 주는 두 취약점은 특수 제작한 HTTP 요청으로 서비스 거부, 원격 코드 실행, 데이터 노출을 일으킬 수 있습니다. Cloudflare는 요청과 응답을 함께 분석하는 WAF 기능으로 공개 전 방어 규칙을 배포했으며, PHP 업데이트를 병행하라고 권고합니다.
Tiny Little Office — 링크 자체가 문서인 작은 오피스 도구 모음
Tiny Little Office는 문서 내용을 URL에 담아 공유하는 오피스 도구 모음입니다. 텍스트, 스프레드시트, 슬라이드 등 열 가지 앱을 제공하며, 계정이나 서버 저장 없이 문서를 다룹니다.
eMudhra 중간 인증서 침해에 대응해 Firefox 사용자를 보호합니다
Mozilla는 eMudhra 중간 인증서 8개의 개인 키가 유출됐다는 신고를 받고 Firefox의 OneCRL에 해당 인증서를 차단 목록으로 배포했습니다. 표준 설정을 사용하는 Firefox에는 신고 후 3시간 안에 배포를 마쳤으며, 일부 사용자와 다른 Mozilla 인증서 저장소 이용자를 위한 추가 업데이트도 내놨습니다.
Rails의 마법은 마법이 아닙니다: 요청은 Rails를 어떻게 통과할까요
Rails의 요청 처리 과정을 Rack 미들웨어부터 라우팅, ActiveRecord, 뷰 렌더링까지 따라가며 관습 뒤에 숨은 Ruby 메커니즘을 설명합니다. Zeitwerk, 커넥션 풀, Strong Parameters도 다뤄 Rails 동작을 디버깅할 때 살펴볼 지점을 제시합니다.
도메인만 등록했는데 한 시간 만에 ChatGPT 봇이 찾아온 이유는?
링크를 공개하지 않은 테스트 호스트 10곳의 nginx 로그를 확인했더니 OpenAI 봇은 8곳에 방문했고 Googlebot과 bingbot은 한 번도 오지 않았습니다. 글쓴이는 인증서 투명성 로그(Certificate Transparency)가 호스트 발견 경로일 수 있다고 봅니다. 다만 첫 요청을 보낸 스캐너의 영향 등 다른 가능성도 남아 있습니다.
Traefik 3.7 서비스 미들웨어로 가중 서비스의 특정 분기만 처리하기
Traefik 3.7은 미들웨어를 서비스에 붙여 가중 서비스의 특정 백엔드에만 적용합니다. 다만 블로그 예제와 달리 middlewares는 loadBalancer 안이 아니라 서비스 바로 아래에 둬야 합니다. 글은 9:1 분기 테스트로 적용 범위와 실행 순서를 확인하고, 설정 오류와 API의 사용처 표시 문제도 짚습니다.
웹사이트가 AI 에이전트의 접근을 막고 있습니다
Amazon, 항공사, 금융사 등 여러 웹사이트가 보안과 서비스 정책을 이유로 AI 에이전트의 접근이나 구매를 막고 있습니다. 에이전트가 사람처럼 웹을 이용하려 해도 봇 차단 시스템에 걸릴 수 있고, 사이트 운영자는 트래픽 비용과 광고 수익, 거래 책임을 함께 따져야 합니다.
Mac의 창을 iPhone과 iPad에서 보고 조작하는 Sill
Sill은 Mac의 특정 창이나 데스크톱 전체를 iPhone·iPad로 전송하고, 터치·키보드·트랙패드·Apple Pencil 입력을 Mac으로 돌려보내는 오픈소스 앱입니다. HEVC 영상 전송과 기기 간 직접 연결을 사용하며, 같은 네트워크나 USB, 직접 무선 연결, 사용자가 구성한 VPN으로 접속합니다.
Forgejo v17.0 출시
Forgejo v17.0은 저장소 안 문서의 절대 링크 처리, Actions 실행·작업 API와 요약 표시, Bitbucket Data Center 마이그레이션 등을 개선한 자체 호스팅 코드 협업 플랫폼의 새 버전입니다. 저장소 문서 링크와 웹훅 동작에는 호환성을 깨는 변경이 있어 업그레이드 전에 백업과 수동 이전 절차를 확인해야 합니다.
LibreTV — Docker로 배포하는 자체 호스팅 영상 검색·재생 플랫폼
LibreTV는 Next.js 15와 TypeScript로 만든 영상 검색·재생 플랫폼입니다. 여러 공개 영상 소스를 검색하고 결과를 묶어 재생하며, IPTV와 프로그램 안내도 지원합니다. Docker로 배포할 수 있고 HTTPS, 접근 비밀번호, SSRF 방어 설정을 제공합니다.
터미널에서 보는 Curl 사이트 만들기
블로그 전체를 ANSI 색상 코드가 포함된 텍스트로 제공하는 방법을 설명합니다. 저자는 자체 마크업 언어와 정적 사이트 생성기를 활용해 페이지를 만들고, Nginx 설정으로 curl 요청을 구분했습니다. 댓글에서는 Accept 헤더를 활용하는 편이 표준에 맞는지 논의합니다.
HN에 글을 올린 뒤 웹사이트에 AI 봇 트래픽이 몰렸습니다
개발자는 Hacker News에 제품을 소개한 뒤 웹사이트가 느려졌고, 로그를 살펴보니 상당수 요청이 페이지를 렌더링하지 않는 봇에서 왔다고 설명합니다. 특정 서비스의 과도한 요청을 차단하고 robots.txt와 속도 제한을 적용했으며, 서버 성능도 개선하고 있습니다.
Firefox Enterprise
Mozilla가 조직 자체 인프라에서 브라우저와 관리 서비스를 운영하는 유료 제품 Firefox Enterprise를 공개했습니다. 데이터 통제, 브라우저 내 민감 정보 보호, 사내 앱의 신원 기반 접근을 내세우며, 기존 Firefox 정책 관리보다 배포와 감사를 쉽게 하겠다는 구상입니다.