Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
PHP의 심각한 취약점 'php2shell' 및 기타 보안 이슈들이 다수 발견되어 긴급 업데이트가 필요합니다. 이 취약점들은 메모리 파괴를 이용한 원격 코드 실행(RCE)이 가능하며, 개발자들은 공식 패치 적용을 최우선으로 진행해야 합니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 Qiita AI의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기오늘도 인터넷에서 발견한, 개인적으로 흥미로웠던 기술 뉴스나 기사를 엄선하여 소개합니다. 의견이나 보충 설명이 있다면 댓글로 알려주시면 감사하겠습니다.
오늘은 아쉽게도 보안 관련 내용입니다.
PHP에서 심각한 취약점인 'php2shell'(CVE-2026-109618, CVE-2026-109619)이 확인되었으며, CVSS v4.0 점수는 9.2로 평가되었습니다. 본 취약점은 메모리 파괴에 기인하는 외부로부터의 임의 코드 실행(RCE)이 가능하다고 보이며, mod_php나 php-fpm, WordPress나 Laravel 등 폭넓은 구성에 영향을 미칠 수 있습니다.
조사에 따르면 기본적으로 활성화되어 있는 세션 관리 기능(Session Upload Progress)과 관련이 있는 것으로 보입니다. 설정 변경을 통한 비활성화는 어느 정도 완화에는 도움이 되지만, 공격을 완전히 막기는 어려우며 이미 악용 코드가 돌기 시작했습니다.
근본적인 대책은 공식 패치 적용입니다. 대상 시스템 파악, 업데이트 절차 및 백업/로그 설정 확인, 최소 권한 원칙 철저 등을 신속하게 진행하고, 패치가 공개된 후에는 최우선으로 적용하는 것이 권장됩니다.
소감
아마도 무엇보다 확인/대응이 필요한 것 같습니다.
The PHP Group은 두 가지 취약점에 대응하는 보안 릴리스를 2026년 10월 21일 23시에 공개할 예정입니다. CERT-EU의 주의 환기에 따르면, PHP 5 이후 버전이 영향을 받는 것으로 알려졌습니다.
현재 수정 프로그램은 미공개 상태이지만, 악용될 우려가 있으므로 개발 및 운영 프로그램이나 장비에서의 이용 현황을 재고하고, 공개 후 신속하게 적용할 수 있도록 사전 준비를 해야 합니다.
프로그래밍 언어 PHP에 서버 탈취나 데이터 절도의 위험이 있는 심각한 취약점 'PHP2Shell'이 발견되어 긴급 업데이트가 배포되었습니다.
이 두 건의 취약점은 보안 기업 Calif와 Wiz가 AI를 이용하여 각각 독자적으로 발견했습니다. OpenAI나 PHP 보안팀, Google Gemini 팀 등이 연계하여 대책과 패치 검증을 진행했으며, 주요 클라우드 사업자도 완화책 준비를 지원했습니다.
웹 서버 'nginx' 및 관련 제품에서 DoS 공격이나 코드 실행, 정보 유출 등으로 이어질 총 11건의 취약점이 밝혀졌습니다.
OSS 공식 사이트에서는 본체 취약점 5건을 '중'으로 평가하고 있지만, F5의 어드바이저리에서는 3건에 대해 CVSSv4.0으로 9.2의 'Critical'로 평가했습니다. 특정 조건 하에서 히프 버퍼 오버플로우가 발생하는 취약점 등이 확인되었습니다.
인도의 인증 기관 eMudhra가 발행한 중간 인증서 8개에서 비밀 키 생성 미비로 인해 제3자가 쉽게 키를 복원할 수 있는 취약점이 발견되었습니다. 악용될 경우 정규 웹사이트로 위장될 위험이 있습니다.
주요 브라우저는 이미 대상을 차단하고 있어 현재 실제 피해는 확인되지 않았지만, 자동 업데이트 기능이 없는 프로그래밍 언어나 각종 툴 환경에서는 개별 대응이 요청되고 있습니다.
인도의 인증 기관 eMudhra에서 중간 CA 인증서 8개의 비밀 키가 암호 강도 미비로 인해 쉽게 복원될 수 있는 취약점이 발견되었습니다. 키 생성 시 절차상의 실수로, 악용되면 정규 웹사이트로 위장될 우려가 있습니다.
해당 회사는 대상 인증서를 폐기시켰고, 주요 브라우저 등도 차단 조치를 취했습니다. 실제 환경에서의 부정 발행이나 악용은 확인되지 않았으며, 영향은 제한적이라고 설명되었습니다.
Go의 긴급 업데이트(1.27.3 / 1.26.10)로 인해 위태로운 eMudhra 중간 인증 기관 8개의 공개 키가 거부 목록에 추가되었습니다.
수정 사항은 표준 라이브러리에 통합되므로, 개발 환경 업데이트뿐만 아니라 바이너리 재빌드와 재배포가 필요합니다.
수정 버전으로 빌드한 프로그램은 대상 중간 CA를 사용하는 서버와 연결할 수 없게 되므로, 사전에 인증서 확인이나 상대방에게 재발급 요청이 권장됩니다.
소감
이것도 영향이 너무 큽니다. 많은 소프트웨어에서 라이브러리를 이 인증 기관의 인증서를 거부하는 수정된 라이브러리로 교체해야 합니다. 혹은 대책된 클라우드의 WAF나 FW를 프로그램 전면에 배치하여 위협을 완화할 필요가 있어 보입니다.
PHP에서 'PHP2Shell'이라 불리는 심각도 9.2의 취약점이 2건 확인되어 서버 탈취 우려로 긴급 패치가 공개되었습니다.
이를 해결하기 위해 버전 "8.5.12", "8.4.27", "8.3.36", "8.2.35"가 출시되었습니다. 수정 대상은 메모리 부족 처리에 기인하는 원격 코드 실행 취약점과, 요청의 내부 상태가 잔존함으로 인한 원격 코드 실행 취약점입니다. 공개 직전에 각 웹사이트는 대응을 위해 유지보수를 실시했습니다.
Go 개발팀은 개발자들의 이용 실태와 과제를 파악하여 향후 우선순위에 반영하기 위해 2026년 11월 3일까지 답변을 받는 개발자 설문조사 실시를 발표했습니다.
보안 수정이 포함된 Microsoft 버전 Go의 새로운 릴리스(1.27.3-1 및 1.26.10-1)가 공개되었습니다.
본 버전에서는 표준 환경설정을 통해 Microsoft의 원격 측정(telemetry) 설정을 영속화하는 기능이 지원됩니다.
Node.js 프로젝트는 보안 취약점에 대응하기 위해 2026년 10월 21일(수) 또는 그 직후에 26.x, 24.x, 22.x 각 라인에서 새 버전을 출시할 예정입니다.
이번에 수정되는 취약점의 최대 중요도는 "HIGH(높음)"으로 분류되었습니다. 지원이 종료된 EOL 버전도 영향을 받기 때문에 시스템을 안전하게 유지하기 위해 최신 버전으로 업데이트하는 것이 권장됩니다.
2026년 10월 21일에 공개된 Node.js 26.12.1은 여러 취약점에 대응한 보안 릴리스입니다.
본 버전에서는 TLS에서의 비정규 IP 주소 거부 및 IP 정규화 결함 수정, DNS 입력값 검증, Brotli 업데이트 등 중요도가 높은 수정이 적용되었습니다.
또한, HTTP 통신 및 난수 캐시 보호, 의존성(V8 및 c-ares) 업데이트, macOS용 도구 개선 등도 함께 실시되었습니다.
Python 3.15.1, 3.14.9, 그리고 3.13.17의 보안 릴리스가 공개되었습니다. eMudhra/emSign CA 인증서 인시던시에 대응하기 위해 포함된 pip이 certifi 2026.10.19를 포함하는 버전 26.2.2로 업데이트되었습니다.
아울러 기존 가상 환경에서의 pip 및 uv 업데이트가 권장됩니다. 또한, macOS용 설치 프로그램에서는 macOS 27.0 환경에서의 tkinter 멈춤 문제도 수정되었습니다.
차기 Android 릴리스 이후부터 앱이 연락처에 직접 쓰기하는 데 사용되던 권한(WRITE_CONTACTS)이 폐지됩니다. 직접 쓰기를 수행하면 예외 오류가 발생하므로, 앞으로는 표준 연락처 인텐트(ACTION_INSERT 등)로의 전환이 권장됩니다.
인텐트를 이용하면 권한 없이 통일된 편집 화면을 사용자에게 제공할 수 있습니다. 다만, 광범위한 연락처 관리가 필요한 일부 앱을 위해서는 특별 접근 권한(MANAGE_CONTACTS)이 새롭게 제공됩니다.
Zed 버전 1.25.2에서는 각 OS별 바이너리 크기 축소 및 실행/SSH 연결 속도 개선이 이루어졌습니다.
기능 면에서는 인라인 힌트의 더블 클릭 편집이나 외부 에이전트를 위한 컨텍스트 압축에 대응했으며, Amazon Bedrock용 최신 AI 모델을 추가했습니다.
또한, 프로세스 목록에서 환경 변수가 노출되는 결함이나 특정 조건에서의 CPU 부하, 표시 깨짐 등의 각종 버그가 수정되었습니다.
Visual Studio 2026(버전 18.11)에 과거 커밋과 현재 작업 내용을 비교할 수 있는 "Compare with Working Tree" 기능이 추가되었습니다.
브랜치 전환이나 체크아웃을 하지 않고도, 미커밋된 변경 사항을 포함한 차이를 쉽게 확인할 수 있습니다.
Visual Studio Code 1.143에서는 새로운 세션의 기본값으로 Copilot Harness가 채택되었습니다. 이를 통해 에디터와 Agents 창 간의 이동이 원활해집니다.
나아가, 여러 모델의 해법을 비교 및 통합할 수 있는 기능이나 비활성 워크트리를 삭제하여 저장 공간을 확보하는 관리 기능이 추가되었습니다. 또한, 단말기에서 직접 MAI Code 1.1 Flash를 실행할 수 있는 온디바이스 기능 등 개발 경험을 향상시키는 각종 기능이 도입되었습니다.
GitHub는 리포지토리의 99.99999%를 Azure로 이전했지만, 부하가 높은 나머지 리포지토리는 리전 간 지연 시간 때문에 이전이 지연되고 있었습니다.
그리하여, 리포지토리 전체를 직렬화하는 기존의 쿼럼(quorum) 방식에서 참조(브랜치 등) 단위로 병렬 처리하는 방식으로 변경했습니다. 또한, Azure Blob Storage를 활용한 가상 복제본으로 스토리지와 계산 자원을 분리하고, 읽기 성능의 독립적인 스케일 아웃을 실현했습니다.
GitHub CLI에 짧은 시간 내에 만료되고 자동 갱신되는 OAuth 토큰을 이용할 수 있는 퍼블릭 프리뷰 기능이 도입되어, 재인증의 번거로움을 줄이는 동시에 자격 증명 유출 시 보안 위험을 낮출 수 있게 되었습니다.
AI 에이전트에 의한 자율 개발 방식인 스펙 주도 개발(SDD: Specification-Driven Development)의 실천 지견을 체계화한 글입니다.
장시간 안정적인 자가 구동을 실현하기 위해 외부 엔진이 아닌 '태스크당 100줄 이내로 세분화된 목표', '3층 서브 에이전트(coder/reviewer/tester)', '결정론적 테스트 루프'를 연쇄시키는 구조를 채택했습니다. 이를 통해 에이전트가 헤매지 않고 태스크를 연속 실행할 수 있는 환경을 조성하고 있습니다.
또한, EARS 표기법을 사용한 요구사항 정의와 정적 검증기(static validator)에 의한 사전 감사(pre-audit)를 도입하여, 사양의 누락이나 괴리를 기계적으로 방지하고 있습니다. 언어 환경도 Python에서 Go, Rust, TypeScript로 확장되었으며, 각 언어에 맞는 품질 게이트가 마련되었습니다.
나아가 모듈 경계를 지키는 L1 Intent 기록과 ADR(Architecture Decision Record)의 기록, 커버리지 검증을 거친 패키징 자동화까지 결합하여, 개별적인 기술 검증에 그치지 않는 종합적인 시스템으로서 높은 생산성을 입증하고 있습니다.
Apple 플랫폼용 라이브러리 'AnyLanguageModel 1.0'이 정식 공개되었습니다.
본 라이브러리는 Apple의 Foundation Models 프레임워크와 호환되며, llama.cpp나 MLX를 사용한 로컬 모델 외에도 각종 호스트형 API를 공통 코드로 이용할 수 있습니다. 도구 호출이나 이미지 입력에도 대응합니다.
향후 음성 모델이나 판단 모델 등으로 지원 범위 확대가 예정되어 있습니다.
OpenAI 모델이 Google Cloud로 오다
OpenAI와 Google Cloud의 제휴를 통해, OpenAI의 최첨단 모델과 Codex가 Google Cloud의 Model Garden에 도입됩니다.
기업은 기존 인프라나 데이터 관리 체제 하에서, 모델을 활용한 자율형 워크플로우를 안전하게 구축하고 운영할 수 있게 됩니다.
Cloudflare가 발표한 AI 모델 'Clairic'은 LLM처럼 문장을 생성하는 것이 아니라, 문장이나 이미지 같은 비정형 데이터에서 지정된 형태의 숫자나 날짜 등의 값을 직접 추출하여 계산 및 추정 결과를 JSON 형식으로 출력합니다.
추론 엔진 'Strata'용으로 7,630억 파라미터의 초거대 AI 모델을 압축하고 최적화한 모델이 등장합니다.
게이밍 PC 같은 일반적인 환경에서도 구동 가능할 것으로 예상되어 주목받고 있습니다.
소감
정말인가요.
Microsoft가 사내 엔지니어를 대상으로 CLI형 AI 도구 도입 효과를 조사했습니다. 사용 계기는 상사나 동료의 영향이 컸으며, 바쁜 사람일수록 정착하는 경향을 보였습니다.
도입 주에는 병합된 풀 리퀘스트(PR) 수가 평균 24% 증가했으며, 그 효과는 지속되고 있습니다.
AI에 의한 코드 생성 급증에 대응하여, 사소하고 범위가 좁은 변경은 AI에게 맡기되, 대규모 차분이나 리팩토링, 보안, AI 생성 테스트의 기대치 등은 사람이 책임지고 검토하는 것이 권장됩니다.
이 책은 AI 보급에 따른 새로운 위협과 위험에 대응하기 위해서는 방어 측면에서 전문 도구 도입뿐만 아니라, 조직적인 정책 수립과 예산 확보, 스킬 향상이 필수적이라고 역설합니다.
AI를 활용하면 단시간에 코드나 테스트를 생성할 수 있지만, 그것만으로 엔지니어로서의 '규율(원칙이나 작업 절차)'이 자연스럽게 습득되는 것은 아닙니다. 규율을 지키지 않아도 개발 자체는 가능하지만, 규율의 본질은 위험을 줄이고 품질을 지속적으로 확보하는 데 있습니다.
버그 수정 시 재현 테스트 작성, 테스트 주도 개발(TDD), 테스트를 동반한 리팩토링, API 사양 우선 개발과 같은 규율은 구현보다 앞서 기대되는 동작을 명확히 하는 데 필수적입니다. AI에게만 의존하게 되면, 잘못된 구현을 기준으로 한 불충분한 테스트가 생성되거나 잠재적인 버그를 놓칠 위험이 있습니다.
AI가 규율에 따라 작업하는 것과 개발자 자신이 규율을 체득하는 것은 별개의 문제입니다. AI가 많은 작업을 대행하는 시대이기에, 단순히 도구 사용법에 머무르지 않고, 개발자가 규율의 의미를 깊이 이해하고 실천을 통해 습득할 기회를 어떻게 확보하는지가 중요하게 다루어지고 있습니다.
소감(感想)
애초에 프로그래머 자신이 규율을 이해하지 못하면 AI 에이전트의 하네스(harness) 이야기는 들어갈 수 없을 것입니다. 결국 이 부분에 대한 이해 역시 AI에게 아웃소싱할 수는 없습니다.
생성형 AI를 사용하는 신입의 실력을 확인하려면, AI를 제거하는 것이 아니라, AI가 없는 상태에서의 성과를 '다른 AI 사용법을 익힌 사람'과 비교하는 것이 효과적입니다.
측정은 직후와 날을 두고 두 번 진행하여 결과의 정착도를 파악해야 합니다.
또한 정답률뿐만 아니라, AI 특유의 실수를 반복하고 있지는 않은지도 확인해야 합니다. 우선 역할별로 AI 없이 처리해야 할 업무를 정하고 작은 검증부터 시작하는 것이 권장됩니다.
Cloudflare는 PHP 5.4 이후에 영향을 미쳐 원격 코드 실행 등의 우려가 있는 취약점인 'php2shell'에 대해 WAF(Web Application Firewall) 방어를 무료 및 유료 플랜에 배포했습니다.
요청과 응답을 함께 검증하는 신규 기능인 'full transaction detection'으로 오탐지를 방지하면서 공격을 차단합니다. 다만 WAF는 다층 방어의 일환이므로, 관리자에게는 PHP 본체의 빠른 업데이트가 권장됩니다.
Cloudflare는 HTTP 요청과 오리진(origin) 응답을 함께 평가하여 악용 흔적을 감지하고, 기밀 정보 유출 등을 인라인으로 차단할 수 있는 '풀 트랜잭션 디텍션(full transaction detection)' 및 응답 규칙을 모든 플랜에 제공하기 시작했습니다.
Azure 업데이트 (2026-10-22) | 부치자키(ブチザッキ)
본 페이지는 2026년 10월 22일 자 Microsoft Azure 및 관련 기술에 대한 최신 업데이트 정보를 모은 기사입니다.
인프라 측면에서는 Virtual Machine Scale Sets의 AZ 자동 밸런싱이나, VNet과 PaaS를 연결하는 표준 서비스 엔드포인트가 일반 제공(GA)되었습니다. 또한, Cosmos DB의 안전한 키 로테이션이나, Azure Container Registry의 데이터 전송 메트릭 등도 정식 출시되었습니다. 나아가 App Service on Linux에서의 PHP 긴급 취약점 대응 등 보안 관련 중요한 동향도 다루어지고 있습니다.
AI 및 데이터 기반 분야에서는 Microsoft Foundry에서 각종 모델이 추가되거나 브라우저 자동화 도구의 GA, Fabric 기능 확장 및 데이터 에이전트 업데이트 등 개발 및 운영을 지원하는 에이전트 기능 강화가 대거 소개되었습니다.
Azure Cosmos DB에서는 계정 키의 최종 사용 일시를 확인하여 예상치 못한 서비스 중단을 방지하면서 안전하게 키 재생성이나 마이그레이션을 할 수 있는 'Safe Key Rotation' 기능이 제공되기 시작했습니다.
Claude Code를 이용한 개발을 6주간 지속하자 Mac 부팅에 약 20분이 걸리는 문제가 발생했습니다. 하드웨어 고장을 의심하여 진단한 결과, 원인은 부팅 시 임시 파일을 삭제하는 'dirhelper' 처리였습니다.
AI 세션마다 생성된 임시 디렉터리 안에 node_modules를 포함한 방대한 파일들이 축적되어 있어, 부팅 시 삭제하는 데 막대한 시간이 소요되었습니다. 종료된 작업 디렉터리의 정기적인 삭제가 권장됩니다.
Mac의 Secure Enclave에서 비밀 키를 생성하고 Touch ID로 SSH 인증을 수행하는 절차가 설명되었습니다.
키 추출을 방지하여 안전성과 편의성이 향상되지만, 재부팅할 때마다 재등록이 필요합니다.
macOS용 오디오 믹서 앱 'Ladiocast'가 약 8년 만에 'v1.0.0'으로 업데이트되었으며, Apple Silicon 네이티브 대응(Universal 2) 및 시스템 요구사항 개편, RTMP 스트리머의 인코딩 형식 추가 등이 이루어졌습니다.
Perplexity AI는 Mac에서 데이터를 클라우드로 전송하지 않고 완전히 로컬로 동작하는 AI 에이전트 'Perplexity Computer' 제공을 시작했으며, 권장 메모리 사양을 24GB에서 32GB로 변경했습니다.
PowerToys 0.102가 공개되었습니다. 마우스 드래그 상태를 유지하는 기능과 커서 숨김 기능이 추가되었습니다.
나아가 명령 팔레트의 기능 확장, ZoomIt의 음성 입력 대응, 명령어 라인 도구 확충 등 다채로운 업데이트가 이루어졌습니다.
Linux 7.3이 출시되었습니다. 가상 파일 시스템 failfs와 새로운 시스템 콜 fchroot()를 결합하여, 파일 디스크립터를 통한 접근만을 허용하는 새로운 사일로(sandbox) 기술이 도입되었습니다. 이를 통해 AI 에이전트 등의 접근 경로를 엄격하게 제한할 수 있습니다.
또한, VRAM 관리 개선을 통한 GPU 성능 향상이나 차세대 플랫폼 대응 등 폭넓은 기능 강화가 이루어졌습니다.
Ubuntu 환경에서 오픈소스 도구 'Solaar'를 활용하여 로지텍(Logitech)의 Bolt나 Unifying 리시버와 장치를 페어링하는 방법, 키 할당 커스터마이징, 규칙 설정 및 자동 시작 비활성화 절차에 대해 설명하고 있습니다.
생성 AI를 현장에서 운영할 때의 과제는 기밀 데이터 보호와 모델 크기에 따른 메모리 부족입니다.
본 기사에서는 128GB 메모리와 NVIDIA GB10을 탑재한 소형 데스크톱 'Dell Pro Precision with GB10'을 검증하고 있습니다. 오프라인 환경에서의 실용성이나, 두 대를 연결하여 메모리를 256GB로 확장했을 때의 거대 모델 구동 상황을 영상으로 소개합니다.
많은 중소기업은 직원 고령화가 진행되는 한편, 대기업의 좋은 처우에 대응하기 어려워 젊은 인재 채용이 힘들어지고 있습니다. 게다가 비용 상승까지 겹치면서 처우 개선 여력도 부족한 상황입니다.
필자의 근무지에서도 젊은 인재 채용 자금을 마련하기 위해 기존 직원의 정기 승급을 영구 동결하는 안이 나오는 등 혼란스럽습니다. 특별한 기술이 없는 평범한 중소기업은 세대교체가 진행되지 않은 채 십수 년 만에 소멸할 것이라고 필자는 경고하고 있습니다.
전 세계 웹사이트의 약 70%에서 사용되는 개발 언어 'PHP'에서 심각한 취약점이 발견되었습니다. AI가 찾아낸 이 결함으로 인해 사이트 탈취 등의 우려가 생기고 있습니다.
국내외 기업이나 정부 기관 사이트가 중단되는 등 영향이 확대되고 있으며, 미국 당국과 각국은 신속한 소프트웨어 업데이트와 같은 긴급 대응을 촉구하고 있습니다.