개발 일지

2026年10月21日、PHPプロジェクトが緊急のセキュリティリリースを出した。インタプリタ本体にある2つの不具合で、認証なしのリクエストからサーバー上でコードを実行できる。通称PHP2Shellである。順番が悪かった。詳細は公開予定日の前日、10月20日に流出した。AWSは公開の4日前、10月17日から攻撃の試みを観測したと報告している。パッチより先に攻撃が動いていたことになる。これはWordPressやLaravelの問題ではない。PHPエンジンそのものの欠陥だ。プラグインやフレームワークを更新しても、PHPのバイナリが同じなら何も変わらない。攻撃の再現はしていない。守る側の作業を、手元のDockerで順番にやってみた。バージョンを数える、暫定対策を入れる、再起動する、アップデートする。TL;DR修正版は 8.5.12、8.4.27、8.3.36、8.2.35。これより下はすべて対..

On October 21, 2026, PHP shipped an emergency security release. Two bugs in the interpreter itself, now called PHP2Shell, let an unauthenticated request execute code on the server.The timing was bad. Details leaked on October 20, a day before the coordinated release. AWS reported exploitation attempts as early as October 17. Attackers had a head start on the patch.This is not a WordPress or Lara..

10월 22일, 정부가 사이버 위기 경보를 '주의'로 올렸다. 이유는 PHP 하나였다. 전날 밤 PHP 프로젝트가 긴급 보안 릴리스를 냈다. 인증 없이 서버에서 코드를 실행할 수 있는 취약점 두 개, 통칭 PHP2Shell이다.순서가 나빴다. 세부 내용이 공개 예정일 하루 전인 10월 20일에 먼저 새어 나갔다. AWS는 공개 나흘 전인 10월 17일부터 공격 시도를 봤다고 했다. 패치보다 공격이 먼저 움직인 셈이다.이번 건은 WordPress나 그누보드 같은 앱의 문제가 아니다. PHP 실행 엔진 자체의 결함이다. 플러그인을 아무리 올려도 PHP 버전이 그대로면 그대로 열려 있다.공격을 재현하는 대신 방어하는 쪽 일을 내 PC 도커에서 순서대로 해 봤다. 버전 확인, 임시 조치, 재시작, 업그레이드.T..

Next.js 15 reached end of life on October 21, 2026. New security fixes now land in 16 only. The last 15.x release on npm is 15.5.28 (October 14), tagged backport. The current 16.x is 16.4.3 (October 23).Before the deadline I took a small 15.5.27 sample, ran the official codemod, and went to 16.3.8. The build broke three times: once on 15 before I even started, and twice after the codemod. Here a..

Most Actuator incidents start the same way. Someone adds include: "*" to get metrics into a dashboard, it works, and nobody looks at the endpoint list again.In March 2026, Trend Micro published an incident write-up that began exactly there. The attacker read /configprops on an unauthenticated Actuator, found a SharePoint service account and host, and later pulled documents out through Microsoft ..

지난 편 끝에서 보안 담당자가 물었다. "우리 서명키, 마지막으로 바꾼 게 언제예요?" 그 자리의 누구도 답하지 못했다.다음 날 아침 회의실에 쿠팡 조사 결과 보고서를 띄웠다. 이번엔 키 이야기만 골라 읽었다. 우리 점검표를 이 보고서에서 뽑기로 했기 때문이다.쿠팡의 키가 지나온 길과기정통부 민관합동조사단 발표(2026-02-11) 내용을 키의 입장에서 따라가면 이렇다.키는 이용자 인증시스템에서 로그인한 사용자에게 주는 "전자 출입증"에 서명하는 데 쓰였다. 내부 규정은 키의 수명을 3년으로만 정했고, 교체 같은 세부 운영절차는 미흡했다.규정상 키는 키 관리 시스템에만 있어야 했다. 실제로는 재직 중인 개발자 노트북에도 있었다. 개발과 운영이 나뉘지 않아 개발자가 운영 키 관리시스템에 접근할 수 있었다...

지난 편 접속기록을 정보주체 단위로 바꾸고 나서 명단은 0.8초 만에 나왔다. 화이트보드에는 물음표 하나가 남았다. 그 계정이 회원 정보를 바꿨는가.CPO가 이 질문을 왜 꼭 집었는지는 조문을 보면 안다. 개정법 제23조 제2항이 "유출등"을 분실·도난·유출·위조·변조·훼손 여섯 가지로 정했다. 변조도 통지 대상이다."본 것만 확인됐고 바뀐 건 모릅니다"라고 쓰면 통지문이 이상해진다. 정보주체는 내 연락처가 공격자 번호로 바뀌었는지 묻는다. 비밀번호 재설정 문자가 그 번호로 가기 때문이다.우리 테이블은 무엇을 기억하나회원 테이블에 있는 건 updated_at 하나였다. 1편 시나리오 속 계정이 9월 17일 새벽에 회원 18234번을 수정했다고 치자. 우리가 아는 건 "18234번이 9월 17일 02:15..

지난 편 모의훈련 첫날, 계정 하나 끊는 데 47분이 걸렸다. 그 계정이 누구의 정보를 봤는지는 밤 10시까지 나오지 않았다.명단은 23:20에 나왔다. 2,764명. 훈련 시작부터 9시간 20분이었다.화이트보드 두 번째 칸에 숫자를 적고 다들 퇴근했다. 나는 지하철에서 액세스 로그 설정 파일을 다시 열어 봤다. maxHistory: 14. 액세스 로그는 14일만 남는다.시나리오 속 침입은 6일 전에 시작됐다. 3주 전에 시작됐다면 어떻게 됐을까. 명단은 "회원 전체"가 됐을 것이다.다음 날 아침, 쿠팡 보고서를 다시 펴다출근해서 2월에 나온 쿠팡 침해사고 조사 결과를 다시 열었다. 처음 읽을 땐 서명키 얘기만 기억에 남았다. 이번엔 로그 부분만 골라 읽었다.조사단은 쿠팡이 접속기록을 일관된 기준 없이 ..

9월 11일, 개정 개인정보 보호법이 시행됐다. 그 주 목요일 오후에 CPO가 개발팀 전체에 메일을 보냈다. 제목은 한 줄이었다."72시간 가능한가요?"본문도 짧았다. 이제는 유출이 확정되지 않아도 불법 접근을 알게 되면 정보주체에게 알려야 한다. 기한은 72시간이다. 우리 시스템으로 그게 되는지 확인해 달라.팀장이 메일을 전달하며 한 줄을 붙였다. "이건 말로 답하지 말고 직접 재 봅시다."그렇게 두 달 가까운 점검이 시작됐다. 이 시리즈는 그 기록이다.무엇을 재야 하나훈련 전에 바뀐 조문부터 다시 읽었다. 기사 제목은 대부분 "과징금 매출 10%"였다. 개발팀이 볼 부분은 따로 있었다.먼저 제34조 제2항이 새로 생겼다. 유출등의 가능성을 알게 돼도 통지해야 한다. 입법예고 때 설명된 사유는 두 가지..

올해 3월 9일, 보안 스타트업 CodeWall이 McKinsey 사내 AI 플랫폼 Lilli의 취약점을 공개했다. 자기들 AI 에이전트가 두 시간 안에 데이터베이스 읽기·쓰기 권한까지 얻었다는 내용이다. 원인은 SQL 인젝션이었다. 눈에 띄는 건 값은 제대로 바인딩돼 있었다는 점이다. 뚫린 곳은 JSON의 필드 이름을 SQL에 그대로 이어 붙인 부분이었다.McKinsey는 외부 포렌식 조사 결과 고객 데이터에 무단 접근한 흔적은 없었다고 밝혔다. CodeWall이 주장한 접근 규모(메시지 수천만 건 등)는 공격 코드가 공개되지 않아 따로 검증된 숫자는 아니다.국내에서는 올해 2월 쿠팡 사고 조사 결과가 나왔다. 성명·이메일 3,367만여 건이 유출됐다. 공격자는 인증 시스템을 만들던 전직 개발자였다. ..