이번 소식
PHP가 2026년 10월 23일 세션 업로드 진행률 기능에 관한 안내를 냈습니다. 드문 설정 조합에서 발생할 수 있는 원격 코드 실행 경로를 막기 위해 다음 정기 수정판까지 session.upload_progress.enabled=0을 권고했습니다.
달라진 점
문제가 생기는 조건은 제한적입니다. 앱 설정의 session.serialize_handler가 php_binary 또는 php_serialize이고, 실행 중 ini_set()으로 이를 php로 바꾼 뒤 session_start()를 호출하며, 업로드 진행률 기능도 켜져 있어야 합니다.
어떤 점이 달라지나요?
PHP 앱을 관리한다면 위 설정 조합인지 확인할 필요가 있습니다. PHP는 실행 중 직렬화 처리 방식을 바꾸지 않는 앱은 이 기능을 켜 둘 수 있다고 설명합니다. 10월 21일 권고에 따라 이미 기능을 껐다면 그대로 유지하면 되며, 이번 안내에 따른 추가 조치는 필요 없다고 밝혔습니다.
사용 전 확인할 점
전체 공지인 CVE-2026-115560은 다음 정기 수정판과 함께 발표할 예정입니다. 이번 안내만으로 영향 버전·수정 버전이나 실제 악용을 확정하지 않습니다. 앞선 CVE-2026-109619와 완화 설정이 겹치지만 같은 취약점이라는 뜻은 아닙니다.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.
