PHP2Shell: 웹 요청만으로 악용되는 PHP 런타임 취약점
10월 21일 PHP가 CVE-2026-109618·CVE-2026-109619를 수정한 긴급 보안 릴리스를 냈다. 메모리 부족 처리 중의 손상과 해제된 요청 상태의 재사용이 원인이며, 애플리케이션 코드가 실행되기 전에 공격 경로가 열릴 수 있다. 수정 버전은 8.5.12·8.4.27·8.3.36·8.2.35이고, 26일 두 취약점이 CISA의 실제 악용 목록에 올랐다.
FPM·mod_php·CGI 등 웹 요청을 처리하는 PHP 설치를 확인하고, 배포판의 수정 패키지나 해당 브랜치의 보안 버전으로 올린 뒤 워커를 재시작해야 한다. WAF 규칙만 적용한 상태를 패치 완료로 처리하면 안 된다.
23일에는 별도 조건에서 발생하는 세션 업로드 진행률 문제(CVE-2026-115560)도 안내됐다. PHP 공지는 다음 정기 수정 전까지 session.upload_progress.enabled=0을 권고하며, 실행 중 세션 직렬화 방식을 바꾸는 애플리케이션이라는 발생 조건을 설명한다.
securityPHP: October security announcementsBrotli 디코더 결함: Node.js·Python·PHP 배포물까지 번진 패치
10월 21일 공개된 CVE-2026-111497은 조작된 Brotli 압축 데이터를 해제할 때 버퍼 밖에 쓰는 결함이다. Node.js뿐 아니라 같은 C 디코더를 묶어 배포하는 제품과 Python 패키지에도 영향을 줬으며, 프로세스 중단·메모리 노출·코드 실행으로 이어질 수 있다. 패치 대상은 서버 한 대의 라이브러리뿐 아니라 애플리케이션에 포함된 복사본과 컨테이너 이미지까지다.
Node.js 수정 버전은 22.23.4·24.22.1·26.12.1, Python의 Brotli는 1.2.1, brotlicffi는 1.2.1.0이다. 이후 수정 버전을 포함한 릴리스도 사용할 수 있다.
PHP는 26일 Windows 패키지를 8.5.12-1·8.4.27-1·8.3.36-1·8.2.35-1로 다시 배포했다. PHP 런타임 버전은 같아도 포함된 Brotli가 달라졌으므로, 버전 문자열만으로 재배포 여부를 판별하기 어렵다.
securityNode.js: October 21 security releasesLiteLLM 1.107.0 공급망 침해: 소스 태그와 배포물이 갈라졌다
10월 21일 LiteLLM의 배포 파이프라인이 침해돼 PyPI 패키지 1.107.0과 일부 컨테이너 태그에 자격 증명 탈취 악성 코드가 실렸다. 23일 최종 조사에 따르면 공개 저장소에 노출된 내부 관리 키에서 시작해 GitHub 토큰을 빼냈고, 공격자 저장소를 빌드하도록 릴리스 워크플로를 바꿨다. 공식 GitHub 소스 태그에는 악성 파일이 없었다.
초기 대응 글의 공격 경로 추정 중 일부는 조사 뒤 정정됐다. 원인은 23일 조사 보고서를 기준으로 읽어야 한다.
영향받은 패키지나 이미지가 실행됐다면 깨끗한 환경에서 다시 만들고, 해당 호스트가 접근할 수 있었던 키와 비밀번호를 교체해야 한다. latest 같은 이동 태그는 당시 실제로 받은 이미지 다이제스트와 실행 시각까지 확인한다.
securityLiteLLM: completed attack-chain investigationGitLab 긴급 패치: 정규식 컴파일러의 비인증 코드 실행 결함
10월 21일 GitLab이 CVE-2026-110264를 포함한 긴급 패치를 공개했다. 특수하게 만든 정규식을 컴파일할 때 정수 오버플로가 발생해, 특정 조건에서 로그인하지 않은 공격자가 서버 코드를 실행할 수 있다. GitLab의 평가는 CVSS 10.0이며, 오래된 자체 운영 인스턴스까지 폭넓게 영향을 받는다.
수정 버전은 18.11.13·19.0.10·19.1.9·19.2.9·19.3.6·19.4.3·19.5.1이다. 자신이 운영하는 브랜치의 수정 버전 이상으로 올려야 한다. GitLab.com은 공지 시점에 패치된 상태였다.
securityGitLab: October 21 critical patch releaseeMudhra 중간 CA 키 문제: 인증서 신뢰 목록을 긴급 수정
10월 17일 eMudhra의 중간 인증기관 8개에 연결된 개인 키를 복구할 수 있다는 신고가 접수됐다. 키 생성 때 난수가 충분하지 않았고, 브라우저 업체들은 인증서 차단과 신뢰 목록 수정에 나섰다. 취약한 키로 서명한 인증서를 신뢰하는 클라이언트에서는 사이트 사칭 위험이 생기므로, 브라우저뿐 아니라 별도 인증서 저장소를 쓰는 프로그램도 확인해야 한다.
eMudhra는 26일 설명에서 스크립트 오류로 약한 키가 생성됐다고 인정했다. 조사 당시 해당 중간 CA가 공개 신뢰 종단 인증서를 발급하지 않았으며, 인프라나 고객 데이터 침해도 확인되지 않았다고 밝혔다.
영향받는 인증서 체인을 사용하는 운영자는 대체 체인으로 교체하고, 클라이언트의 인증서 신뢰 업데이트가 실제로 적용됐는지 확인해야 한다.
securityGoogle: Chrome and Android certificate responseEDK II PXE 결함: 운영체제가 뜨기 전 네트워크 부팅을 공격
10월 22일 TianoCore가 EDK II의 PXE 네트워크 부팅 드라이버 취약점 CVE-2026-97631을 공개했다. IPv4·IPv6로 PXE 부팅하는 동안 조작된 ICMP 오류 메시지가 드라이버의 버퍼를 넘쳐 쓰게 해, 운영체제가 로드되기 전에 코드가 실행될 수 있다. 공개 공지의 CVSS 4.0 점수는 9.5다.
노출 조건은 PXE 네트워크 부팅 중 공격자의 ICMP 오류 메시지가 도달하는 경우다. 사용하지 않는 PXE 경로를 끄고, 실제 장비 제조사의 펌웨어 공지와 업데이트를 확인해야 한다. 상위 프로젝트의 수정과 장비에 설치할 수 있는 펌웨어 배포는 구분해서 봐야 한다.
securityTianoCore: EDK II PXE driver advisoryNext.js 10월 보안 업데이트: Cache Components·SVG 처리·Server Actions
10월 14일 Next.js가 상위 의존성의 취약점을 고친 16.4.1·15.5.28을 배포했다. 여러 typed array를 반환하는 use cache 함수의 코드 실행, glibc 기반 Linux에서 SVG 이미지 최적화 중의 코드 실행, Server Actions를 통한 서비스 거부 문제가 포함됐다. 앱에서 사용하는 기능과 실행 환경에 따라 영향 경로가 달라진다.
공지에 명시된 수정 버전 이상으로 업데이트한다. SVG 이미지 처리 문제는 sharp 0.35.5 이상이 대안으로 제시됐지만, 이 조치만으로 같은 공지의 다른 취약점까지 수정되지는 않는다.
securityNext.js: October 14 upstream security updateDeno 팀, Cloudflare 합류: 런타임 개발 종료 일정도 공개
10월 9일 Deno 팀이 Cloudflare 합류를 발표했다. 팀은 독립 런타임에 대해 1년간 버그·보안 수정 월간 릴리스를 제공한 뒤 개발을 종료하고, Deno Deploy는 6개월 뒤 운영을 중단한다고 밝혔다. JSR은 계속 운영하며 인프라를 Cloudflare로 옮긴다.
후속 운영 공지는 Deno 2.9.x LTS의 지원 기간을 2027년 10월까지로 설명한다. 런타임과 호스팅 서비스의 종료 일정이 다르므로 각각의 의존 관계와 이전 계획을 확인할 필요가 있다. 코드는 오픈 소스로 남는다.
runtimeDeno: joining CloudflarePython 3.15: 명시적 지연 임포트와 UTF-8 기본 인코딩
10월 9일 Python 3.15가 정식 출시됐다. 명시적 지연 임포트, 내장 frozendict·sentinel, UTF-8 기본 인코딩, free-threaded 빌드용 안정 ABI가 포함됐다. 시작 시 모든 모듈을 즉시 불러오던 비용을 조절할 수 있고, 인코딩 변경은 로케일에 기대던 파일 입출력 코드를 점검할 이유가 된다.
새 profiling 패키지와 통계적 샘플링 프로파일러 Tachyon도 추가됐다. 지연 임포트를 도입할 때는 모듈의 초기화 코드가 실행되는 시점과 임포트 오류가 드러나는 시점을 함께 확인한다.
languagesPython: What's New in 3.15Node.js 26, Lithium LTS 진입: 27은 새 연간 주기의 알파로 시작
10월 28일 Node.js 26.13.0이 Lithium이라는 이름으로 LTS에 진입했다. 지원은 2029년 4월 말까지 예정돼 있다. 다음 날 나온 27.0.0-alpha.0.0.0은 새 연간 출시 주기의 첫 알파이며, 27 정식 버전의 목표는 2027년 4월이다.
26.13.0 자체는 26.12.1에서 LTS 표시 등 메타데이터를 바꾸는 릴리스다. 27은 알파 단계다. 기존 LTS에서 26으로 옮길 때는 Linux 공식 바이너리의 libatomic 의존성도 확인한다.
runtimeNode.js 26.13.0 Lithium LTSTypeScript 7.1 베타: import 속성을 타입 선언에 반영
10월 20일 TypeScript 7.1 베타가 공개됐다. 앰비언트 모듈 선언에 import 속성을 지정할 수 있어, 같은 파일 확장자라도 type: text·bytes·css 같은 로딩 방식에 따라 반환 타입을 구분할 수 있다. 확장자 와일드카드만으로 선언하던 자산 임포트에 런타임의 해석 조건을 더 정확히 담는다.
공개된 것은 베타다. 현재 프로젝트의 번들러·런타임이 어떤 import 속성을 지원하는지 확인하며 시험할 수 있다.
languagesMicrosoft: TypeScript 7.1 BetaNext.js 16.4: 새 앱에 Cache Components를 기본 적용
10월 6일 Next.js 16.4가 출시됐다. create-next-app으로 만드는 새 앱에는 Cache Components가 기본 활성화되며, 기존 앱은 설정과 캐시 경계를 검토해 도입할 수 있다. 개발 중 메모리·디스크 사용량 개선, 더 작은 프로덕션 번들, React 19.3 지원과 번들 분석 도구 확장도 포함됐다.
기존 앱에서는 설정에서 Cache Components를 활성화하고, 빌드 시점에 계산할 부분과 요청마다 실행할 부분을 나눠 확인하면서 옮긴다. 같은 달 보안 수정은 별도 항목에서 정리했다.
frameworksNext.js 16.4 releaseRust 1.99: C ABI 가변 인자 함수 정의 안정화와 후속 회귀 수정
10월 1일 Rust 1.99.0이 C·C-unwind ABI의 가변 인자 함수 정의를 안정화했다. 외부 C 함수를 호출하는 데서 더 나아가 Rust에서 직접 해당 함수를 구현할 수 있게 됐고, raw pointer로 크기·정렬 정보를 조회하는 API도 안정화됐다.
15일의 1.99.1은 x86_64 FFI bool 반환값의 오컴파일, 일부 타깃의 wcslen 링크 오류, macOS rust-lld의 libLLVM 로딩 문제를 수정했다. FFI나 해당 타깃을 쓰는 프로젝트는 기능 추가와 함께 패치 릴리스도 확인해야 한다.
languagesRust 1.99.0 release