PHP2Shell 공지를 보고 점검했더니 PHP가 하나도 없었습니다

이미지
10월 21일에 PHP와 Node.js가 같은 날 보안 패치를 냈습니다. PHP 쪽은 사람들이 PHP2Shell이라고 부르고 있고, Node 쪽은 Node2Shell이라는 이름이 붙었습니다. 이름부터가 좀 무섭습니다. 뒤에 Shell이 붙으면 대개 남의 서버에서 명령을 실행할 수 있다는 뜻이니까요. 회사에서도 바로 지시가 내려왔습니다. 전 프로젝트 점검하고, 외부 IP 붙은 서버는 전수조사하라는 내용이었습니다. 회사 쪽 일은 회사 쪽대로 하고, 저는 퇴근하고 개인 프로젝트랑 예전에 알바로 했던 것들을 한번 열어 봤습니다. 그런데 열어 보고 나니 이번 글은 패치 이야기가 아니라 7년 전 이야기가 됐습니다. PHP2Shell과 Node2Shell, 둘이 같은 무게는 아닌 것 같습니다 찾아오신 분들은 아마 이게 뭔지, 내 서버가 해당되는지부터 궁금하실 것 같아서 그것부터 적습니다. PHP2Shell은 CVE 두 건입니다. CVE-2026-109618 과 CVE-2026-109619이고, 둘 다 인증 없이 원격에서 코드를 실행할 수 있는 취약점입니다. CVSS 4.0 기준 9.2점입니다. 하나는 메모리가 부족할 때 PHP가 요청 데이터를 반쯤 만든 상태에서 멈추고, 정리 단계에서 그 망가진 데이터를 멀쩡한 걸로 취급하는 문제입니다. 다른 하나는 요청이 끝난 뒤에도 그 요청이 쓰던 상태가 남아 있다가 같은 워커가 받은 다음 요청에서 다시 쓰이는 문제입니다. PHP 공식 공지 기준으로 고쳐진 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다. 그보다 낮은 버전은 전부 해당됩니다. 8.1 이하는 PHP 프로젝트가 더 이상 정규 릴리스를 내지 않습니다. 대신 보안팀이 7.4, 8.0, 8.1용으로 최소한의 소스 백포트를 따로 공개해 뒀고, 배포판이나 LTS 벤더 중에도 백포트를 내는 곳이 있다고 합니다. 직접 빌드하거나 벤더 패키지를 쓰는 게 아니면 사실상 버전을 올리는 수밖에 없어 보입니다. 공지에도 설정을 바꾸는 건 부분적인 완화일 뿐이고...
댓글 쓰기

소개

소개

안녕하세요. Apple-IO 는 현업 개발자의 경험 및 개인적인 생각을 기록하는 개인 블로그입니다.

운영자

  • 활동명: GOLDTAGWORKS
  • 1998년부터 개발자로 활동
  • 2011-2017: RealNetworks 개발자
  • 2018-2021: 카카오 개발자
  • 2022-현재: 카카오 엔터테인먼트 개발자
  • 최근 관심사: AI 협업 개발(Claude, ChatGPT)과 사이드 프로젝트

고지

이 블로그의 모든 글은 운영자 개인이 조사하고 직접 사용해 본 내용을 바탕으로 작성하며, 현재 또는 과거에 재직한 회사의 공식 입장과는 무관합니다. 회사의 공식 채널이 아니며, 회사를 대신하여 어떤 견해도 밝히지 않습니다.

업무 중 겪은 일을 소재로 삼는 경우에는 서비스명, 조직명, 실명, 미공개 일정을 제외하고 업계에 공통된 기술적 구조만 다룹니다.

특정 회사의 제품이나 서비스를 다루는 글에는 금전적 대가를 받은 협찬이나 제휴가 없습니다. 그런 관계가 생기는 경우 해당 글에 명시합니다.

사실 확인과 출처

외부에서 발표된 내용을 인용할 때는 가능한 한 1차 출처(공식 발표문, 논문, 기업 문서)로 연결하고, 확인한 날짜를 함께 적습니다. 발표 시점 이후에 사실이 바뀌는 분야를 다루기 때문에, 글을 읽는 시점과 확인 시점이 다를 수 있다는 점을 밝혀 두기 위한 것입니다.

공식 발표를 그대로 옮긴 부분, 기사를 해석한 부분, 운영자의 개인적인 판단은 본문에서 구분해 적습니다. 틀린 내용이 확인되면 글을 수정하고 무엇을 고쳤는지 남깁니다.

외부 채널

어떤 블로그인가요

이 블로그는 빠르게 바뀌는 개발 환경에서 AI를 어떻게 하면 더 잘, 더 편하게 쓸 수 있을지 실제 개발 이야기와 엮어 풀어갑니다. 많은 인플루언서들이 다루는 거창한 이론보다는, 현업 개발자가 매일 코드를 짜면서 마주치는 구체적인 문제들 — Claude나 ChatGPT, GitHub Copilot 같은 AI 도구를 어떻게 쓰면 더 잘 쓰는지, 어디서 막히고 어떻게 풀었는지를 개인적인 경험을 바탕으로 기록합니다.

다루는 주제는 대략 이런 것들입니다.

  • AI 도구를 활용한 코딩, 디버깅, 아키텍처 설계
  • AI 에이전트와 하네스(에이전트·스킬·훅) 구성 및 실사용
  • 로컬 LLM과 기업 환경에서의 AI 도입
  • AI 관련 보안 이슈와 개발 환경의 위험 요소
  • AI 시대의 개발자 워크플로우와 생산성 변화
  • AI 시대를 살아가는 현업 개발자의 고민과 방황

왜 글을 쓰나요

AI가 등장하기 이전에도 20년 전, 10년 전, 한 달 전, 오늘 짠 코드는 다 달랐습니다. 20년 전에는 내가 왜 그렇게 만들었을까? 10년 전에는 왜 그랬지? 한 달 전에는? 그래서 AI가 생성한 코드도 어느 순간 맥락을 잃어가는 걸 볼 때, 과거의 비슷한 패턴이 투영되는 듯한 느낌이 듭니다.

AI가 코딩을 바꾸고 있다는 말은 너무 많이 들었지만, 정작 "오늘 내가 짠 코드 중 몇 줄이 AI 덕분에 달라졌는지" 구체적으로 기록한 글은 드물다고 느꼈습니다. 그래서 직접 써보기로 했습니다. 누군가에게 도움이 된다면 좋고, 안 되더라도 미래의 저에게는 유용한 일지가 될 거라고 생각합니다.

글의 원칙

  • 과장 없이 — AI가 잘하는 것과 못하는 것을 둘 다 씁니다
  • 구체적으로 — 코드 예시와 Before/After 비교를 곁들입니다
  • 실패도 기록 — 안 풀린 문제, 잘못된 선택도 가능한 한 솔직하게 적습니다
  • 출처를 밝히고 — 남의 발표를 옮긴 자리와 제 판단을 나눠서 적습니다

댓글

댓글은 열어 두고 있습니다. 광고, 도박, 성인물, 불법 자료로 연결되는 링크가 담긴 댓글은 발견하는 대로 삭제합니다. 처리 기준은 개인정보처리방침에 적어 두었습니다.

블로그 정보

  • 도메인: apple-io.com
  • 운영자: GOLDTAGWORKS
  • 시작: 2026년
  • 언어: 한국어

댓글

댓글 쓰기

이 블로그의 인기 게시물

봉제인형 사진 한 장, ChatGPT와 Gemini의 다른 대답

이미지
오전에 당근 모임 대화방에 그림 두 장이 올라왔습니다. 저는 대화에 끼지 않고 읽기만 하고 있었습니다. 하나는 한옥 마당에서 버섯 바구니를 든 주황색 고양이였고, 다른 하나는 시장 골목에서 장바구니를 든 가지와 당근이었습니다. 둘 다 펠트로 만든 인형처럼 생겼고, 표면에 보풀이 일어난 게 폰 화면으로도 보였습니다. 바로 밑에 누가 물었습니다. 제미나이로 만든거에요? 올린 분 답은 이랬습니다. 아뇨 인스타에서 찾은거 걍 인형같던데... 대화는 "으흠 신기하네용"으로 끝났는데, 저는 "걍 인형같던데"에서 한참 멈춰 있었습니다. 그 그림이 노린 반응이 딱 그거라서요. 진짜 인형을 찍은 사진이면 굳이 나올 말이 아니고, 보는 사람이 한 번은 헷갈려야 나오는 말입니다. 가지가 쓴 동그란 안경은 실로 수놓은 것처럼 보이는데, 손바닥만 한 인형에 안경테를 저렇게 고르게 수놓는 건 손으로 하기엔 꽤 성가신 일입니다. 배경이 전부 적당히 흐려져 있고 햇빛이 인형 털 끝에서만 반짝이는 것도 그랬습니다. 제 눈에는 AI 쪽으로 보였습니다. 그래서 그 두 장을 뜯어보고 프롬프트로 옮겨 봤습니다. 인스타에 올린 사람이 어떤 프롬프트를 썼는지는 모르니 그림에서 보이는 걸 거꾸로 적어 내려간 거고, 그렇게 만든 프롬프트에 가지고 있던 사진 몇 장을 넣어 봤습니다. 그림을 문장으로 거꾸로 적어 내려간다는 게 말은 쉬운데, 해 보면 그림에서 뭘 볼지부터 정해야 합니다. 저는 얼굴을 먼저 봤습니다. 고양이 눈은 반쯤 감긴 선 두 줄이고 가지 얼굴도 눈과 입이 가는 선 몇 개로 끝납니다. 펜으로 그린 선이 아니라 실로 박음질한 선처럼 보여서, 눈, 눈썹, 코, 입은 프린트가 아니라 embroidery나 felt applique로 만든다는 문장이 됐습니다. 그다음이 표면이었습니다. 크게 키워 보면 고양이 털 끝부분이 햇빛을 받아 하얗게 빛나는데, 매끈한 3D 렌더링과 제일 다른 데가 여기라서 재질 단락과 림 라이트 문장을 따로 만들었...
자세한 내용 보기

AI 부업으로 3개월에 2달러 벌고 50달러를 썼다는 증언을 봤습니다. 그 위에 광고가 네 겹입니다

이미지
4월부터 이 블로그에서 AI 부업 시장 얘기를 몇 번 했습니다. 그때는 좀 이른 얘기를 하는 기분이었는데, 요즘은 유튜버들도 뉴스도 부쩍 같은 얘기를 합니다. 심층 취재가 나오고, 피해 통계가 인용되고, 강의 광고를 뜯어보는 영상이 올라옵니다. 그런데 저는 이게 AI가 만든 새 시장이라고는 잘 안 느껴집니다. 시장은 원래 있었습니다. 고수익 알바가 있었고, 부동산 경매가 있었고, 과일 도매가 있었습니다. 재택으로 하루 몇 시간에 월 얼마, 소자본으로 시작해서 인생이 바뀐다는 카피가 붙던 시장이요. 지금은 거기에 AI가 들어가 있을 뿐인 것 같습니다. 바이브 코딩 강의를 결제하기 전에 를 쓸 때도 건물 경매와 쿠팡 소싱을 옆에 놓고 봤는데, 그때는 코딩이었고 이번엔 부업입니다. 그러다 최근에 올라온 심층 취재 영상을 하나 봤습니다. 분야별로 사람을 만나서 실제로 얼마를 버는지 묻는 구성이었는데, 보다가 두 번 멈췄습니다. 한 번은 거기 인용된 통계 때문이었습니다. 넉 달 전에 쓴 글 에 넣었던 한국소비자원 부업 강의 피해 숫자가 그대로 나왔습니다. 먼저 써뒀다는 게 반갑기보다는, 그사이에 아무것도 안 바뀌었다는 게 먼저 보였습니다. 다른 한 번은 제 글에 없던 숫자 때문이었습니다. 실제로 손에 쥔 돈이요. 3개월에 2달러 AI 음악으로 플레이리스트 채널을 해봤다는 사람이 이렇게 말합니다. 진짜로 플레이리스트로는 3개월 정도 운영을 해서 2점 몇 달러 벌었어요. 거기다가 제가 투자한 거는 한 50달러 이상 투자를 했죠. AI 구독들, 배급사에다가 등록하는 금액들. 3개월 동안 번 게 2달러 남짓이고 쓴 게 50달러가 넘습니다. 커피 한 잔 값을 벌겠다고 열 잔 값을 쓴 셈입니다. 다른 분야도 크게 다르지 않았습니다. 일러스트 쪽은 제일 많이 벌어본 게 한 달 50만 원이었고, AI로 글이나 자동화를 하는 쪽은 한 달 20만, 30만 원이면 잘 버는 거라고 했습니다. 그리고 이런 말이 붙었습니다. 이걸 시간제로 나눠서 보면 지금 최저임금도 ...
자세한 내용 보기

구글은 서울에서 모델이 아니라 에이전트를 판다

이미지
며칠 전에 브라우저 탭 세 개를 나란히 열어두고 있었습니다. 하나는 구글이 서울에서 연다는 AI Agents Live + Labs 등록 페이지였고, 하나는 앤트로픽이 6월에 최신 모델 접근을 정부 지침 때문에 막았다가 다시 연 공지였고, 나머지 하나는 오픈AI가 새 모델 라인업 일부를 미국 정부 요청으로 제한했다는 6월 말 기사였습니다. 원래는 서울 행사만 보려던 거였는데, 탭을 닫으려다가 세 화면이 한눈에 들어왔습니다. 뭔가 좀 어긋나 있다는 느낌이 들었습니다. 따로 보면 셋은 상관없는 뉴스입니다. 하나는 아시아 개발자 행사 초대장이고, 둘은 프런티어 랩의 접근 제어 사건입니다. 그런데 시기가 겹칩니다. 프런티어 모델 두 개가 6월 한 달 사이에 나란히 정부발 제한을 맞는 동안, 구글은 모델 자랑 대신 그 위에 얹는 것들, 그러니까 에이전트와 오케스트레이션과 프로덕션을 들고 서울로 오고 있었습니다. 저는 그 행사에 가본 것도 아니고 이 모델들을 직접 써본 것도 아닙니다. 세 조각을 나란히 놓고 본 게 전부입니다. 그런데 그렇게 놓고 보니 구글이 계속 말해온 멀티모델 유연성이라는 말이 갑자기 다르게 들렸습니다. 6월에 있었던 일 구글 얘기를 하려면 6월 얘기를 먼저 해야 할 것 같습니다. 6월 12일에 앤트로픽이 막 공개한 Fable 5와 Mythos 5의 접근을 그날로 끊었습니다. 회사가 알아서 조심한 게 아니었습니다. 앤트로픽 공지 를 보면 미국 정부가 국가안보 권한을 근거로 모든 접근을 중단하라는 수출통제 지침을 내렸고, 지침이 도착한 그 오후에 모델이 바로 내려갔습니다. 막힌 대상이 좀 특이했습니다. 미국 안이든 밖이든 상관없이 외국 국적자 전부였습니다. 앤트로픽에서 일하는 외국 국적 직원도 포함해서요. 국경이 아니라 여권으로 선을 그은 겁니다. 한국에서 이 모델을 업무에 붙여 쓰던 팀이라면, 자기가 뭘 잘못한 것도 없는데 어느 날 오후에 갑자기 못 쓰게 된 겁니다. 제가 그 팀에 있었다면 처음엔 장애인 줄 알았을 것 같습니다. API ...
자세한 내용 보기