PHP, CVSS 9.2 치명적 취약점 두 건 긴급 패치 예고
Upcoming Critical PHP Security Release
PHP 보안팀이 10월 21일 14:00 UTC에 배포될 보안 릴리스를 사전 공지했다. CVSS v4.0 기준 9.2로 평가된 치명적 취약점 두 건을 해결하는 릴리스로, 모든 PHP 사용자는 즉시 업그레이드할 수 있도록 미리 준비하라고 권고했다. 세부 내용이 공개되거나 실제 악용 정황이 확인되면 예정보다 앞당겨 배포할 수 있다고 밝혔으며, 영향받는 버전과 수정 버전은 릴리스와 함께 공개된다.
세부 내용이 공개되거나 실제 악용 정황이 확인될 경우, 우리는 더 이른 시점에 릴리스할 권리를 보유한다.
HN 토론
17- devttyeu
@dang 주변에 도는 추측이 사실이라면 이건 종말급이고, 너무 늦기 전에 적절한 사람들이 보도록 확대될 가치가 있습니다.
CERT-EU는 빠르게 패치할 수 없는 노출 가능성이 있는 모든 시스템을 격리하라고까지 제안합니다.
추측에 따르면 영향을 받는 서브시스템은 어떤 애플리케이션 코드보다 먼저 실행되며 모든 기본 설치에 영향을 미친다고 합니다.
- Numerlor
글쎄 이건 거의 최악의 상황이라, 인터넷이 약간의 테스트를 받고 오래된 포럼들이 봇넷으로 변할 것 같네요
- unethical_ban
다른 HN 스레드에서 나온 소문난 완화책:
>영향받는 버전에 대한 완화책은 php.ini에서 `session.upload_progress.enabled = Off`로 설정하는 것입니다
내 위키가 쓰지 않는 기능이라, 가능한 한 빨리 패치하더라도 그 비트를 뒤집는 데 아무 해가 없었습니다. 사실, 아마 오늘 하루 서버를 그냥 꺼둘 수도 있었을 것 같네요...
수정: 그냥 오늘 하루 내 dokuwiki를 꺼뒀습니다. 어차피 나 말고는 아무도 안 쓰니까요.
수정2: https://old.reddit.com/r/PHP/comments/1xb2utu/upcoming_criti...
PHP의 releng이라고 주장하는 누군가는 INI 설정으로는 구제되지 않을 거라고 합니다.