개발 일지

2026年10月21日、PHPプロジェクトが緊急のセキュリティリリースを出した。インタプリタ本体にある2つの不具合で、認証なしのリクエストからサーバー上でコードを実行できる。通称PHP2Shellである。順番が悪かった。詳細は公開予定日の前日、10月20日に流出した。AWSは公開の4日前、10月17日から攻撃の試みを観測したと報告している。パッチより先に攻撃が動いていたことになる。これはWordPressやLaravelの問題ではない。PHPエンジンそのものの欠陥だ。プラグインやフレームワークを更新しても、PHPのバイナリが同じなら何も変わらない。攻撃の再現はしていない。守る側の作業を、手元のDockerで順番にやってみた。バージョンを数える、暫定対策を入れる、再起動する、アップデートする。TL;DR修正版は 8.5.12、8.4.27、8.3.36、8.2.35。これより下はすべて対..

On October 21, 2026, PHP shipped an emergency security release. Two bugs in the interpreter itself, now called PHP2Shell, let an unauthenticated request execute code on the server.The timing was bad. Details leaked on October 20, a day before the coordinated release. AWS reported exploitation attempts as early as October 17. Attackers had a head start on the patch.This is not a WordPress or Lara..

10월 22일, 정부가 사이버 위기 경보를 '주의'로 올렸다. 이유는 PHP 하나였다. 전날 밤 PHP 프로젝트가 긴급 보안 릴리스를 냈다. 인증 없이 서버에서 코드를 실행할 수 있는 취약점 두 개, 통칭 PHP2Shell이다.순서가 나빴다. 세부 내용이 공개 예정일 하루 전인 10월 20일에 먼저 새어 나갔다. AWS는 공개 나흘 전인 10월 17일부터 공격 시도를 봤다고 했다. 패치보다 공격이 먼저 움직인 셈이다.이번 건은 WordPress나 그누보드 같은 앱의 문제가 아니다. PHP 실행 엔진 자체의 결함이다. 플러그인을 아무리 올려도 PHP 버전이 그대로면 그대로 열려 있다.공격을 재현하는 대신 방어하는 쪽 일을 내 PC 도커에서 순서대로 해 봤다. 버전 확인, 임시 조치, 재시작, 업그레이드.T..