PHP 8.5.12 등 보안 업데이트 배포, 원격 코드 실행 가능한 취약점 두 건 수정(thephp.foundation)

- 이번 배포는 PHP가 돌아가는 서버를 외부인이 조작하지 못하도록 막는 보안 수정판이다. PHP 프로젝트에 따르면 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전이 특정 조건에서 인증 없는 공격자가 서버에서 코드를 실행할 수 있는 취약점 두 건을 고친다. - 첫 번째 취약점은 메모리 사용 한도(memory_limit)에 요청이 정확히 닿는 순간 내부 데이터가 손상되는 문제이고, 두 번째는 치명적 오류 뒤 이전 요청의 메모리를 재사용하는 문제다. 원문은 Apache mod_php 환경에서 기본 설정으로 원격 코드 실행이 시연됐다고 적는다. - 원문에 따르면 첫 번째 문제의 징후는 2024년 외부 감사 중 처음 나왔으나 당시 실제 공격 경로는 확인되지 않았다. 이후 Calif, OpenAI, Wiz 등의 보고로 영향 범위가 드러나 8월부터 최우선 과제가 됐다. - 10월 20일 취약점 ID가 포럼과 SNS에 먼저 유출되자 PHP 측은 사전 공지를 앞당기고 배포일을 하루 당겼다. 한 보안 업체가 증명 영상을 실수로 공개했고, Chainguard는 공개 전 수정이 담긴 이미지를 배포했다고 원문은 전한다.