PHP2Shell 공지를 보고 점검했더니 PHP가 하나도 없었습니다

이미지
10월 21일에 PHP와 Node.js가 같은 날 보안 패치를 냈습니다. PHP 쪽은 사람들이 PHP2Shell이라고 부르고 있고, Node 쪽은 Node2Shell이라는 이름이 붙었습니다. 이름부터가 좀 무섭습니다. 뒤에 Shell이 붙으면 대개 남의 서버에서 명령을 실행할 수 있다는 뜻이니까요. 회사에서도 바로 지시가 내려왔습니다. 전 프로젝트 점검하고, 외부 IP 붙은 서버는 전수조사하라는 내용이었습니다. 회사 쪽 일은 회사 쪽대로 하고, 저는 퇴근하고 개인 프로젝트랑 예전에 알바로 했던 것들을 한번 열어 봤습니다. 그런데 열어 보고 나니 이번 글은 패치 이야기가 아니라 7년 전 이야기가 됐습니다. PHP2Shell과 Node2Shell, 둘이 같은 무게는 아닌 것 같습니다 찾아오신 분들은 아마 이게 뭔지, 내 서버가 해당되는지부터 궁금하실 것 같아서 그것부터 적습니다. PHP2Shell은 CVE 두 건입니다. CVE-2026-109618 과 CVE-2026-109619이고, 둘 다 인증 없이 원격에서 코드를 실행할 수 있는 취약점입니다. CVSS 4.0 기준 9.2점입니다. 하나는 메모리가 부족할 때 PHP가 요청 데이터를 반쯤 만든 상태에서 멈추고, 정리 단계에서 그 망가진 데이터를 멀쩡한 걸로 취급하는 문제입니다. 다른 하나는 요청이 끝난 뒤에도 그 요청이 쓰던 상태가 남아 있다가 같은 워커가 받은 다음 요청에서 다시 쓰이는 문제입니다. PHP 공식 공지 기준으로 고쳐진 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다. 그보다 낮은 버전은 전부 해당됩니다. 8.1 이하는 PHP 프로젝트가 더 이상 정규 릴리스를 내지 않습니다. 대신 보안팀이 7.4, 8.0, 8.1용으로 최소한의 소스 백포트를 따로 공개해 뒀고, 배포판이나 LTS 벤더 중에도 백포트를 내는 곳이 있다고 합니다. 직접 빌드하거나 벤더 패키지를 쓰는 게 아니면 사실상 버전을 올리는 수밖에 없어 보입니다. 공지에도 설정을 바꾸는 건 부분적인 완화일 뿐이고...
댓글 쓰기

연락처

연락처

블로그 글, AI 활용 개발, 사이드 프로젝트 등에 관한 의견이나 문의는 아래 이메일로 보내주세요.

이메일

goldtagworks@gmail.com

다음과 같은 의견들은 언제나 환영합니다.

  • 블로그 글에 대한 질문이나 피드백
  • 잘못된 정보 제보 (오타, 사실 관계 오류 등)
  • 다루었으면 하는 주제 제안
  • AI 도구 활용에 관한 토론
  • 광고, 마케팅, 협찬 제안 (긍정적으로 검토합니다 ㅎㅎㅎ)
  • 일반적인 인사

응답 시간

가능한 한 빠르게 답변드리려 노력하지만, 아무래도 취미로 하는 개인 블로그이므로 빠른 응답은 불가능 할수 있습니다. 양해 부탁드립니다.

답변하지 않는 문의

다음과 같은 문의에는 답변드리지 않습니다.

  • 게시된 글의 무단 전재, 복제, 번역 요청 (저작권 사항 참고)
  • 개인적인 코딩 과외나 컨설팅 의뢰

저작권

본 블로그의 모든 글과 코드 예시는 별도 표기가 없는 한 운영자에게 저작권이 있습니다. 학습 및 개인적 사용은 자유롭게 가능하나, 상업적 목적의 무단 사용은 금지됩니다. 인용 시 출처를 명시해주세요.

댓글

댓글 쓰기

이 블로그의 인기 게시물

봉제인형 사진 한 장, ChatGPT와 Gemini의 다른 대답

이미지
오전에 당근 모임 대화방에 그림 두 장이 올라왔습니다. 저는 대화에 끼지 않고 읽기만 하고 있었습니다. 하나는 한옥 마당에서 버섯 바구니를 든 주황색 고양이였고, 다른 하나는 시장 골목에서 장바구니를 든 가지와 당근이었습니다. 둘 다 펠트로 만든 인형처럼 생겼고, 표면에 보풀이 일어난 게 폰 화면으로도 보였습니다. 바로 밑에 누가 물었습니다. 제미나이로 만든거에요? 올린 분 답은 이랬습니다. 아뇨 인스타에서 찾은거 걍 인형같던데... 대화는 "으흠 신기하네용"으로 끝났는데, 저는 "걍 인형같던데"에서 한참 멈춰 있었습니다. 그 그림이 노린 반응이 딱 그거라서요. 진짜 인형을 찍은 사진이면 굳이 나올 말이 아니고, 보는 사람이 한 번은 헷갈려야 나오는 말입니다. 가지가 쓴 동그란 안경은 실로 수놓은 것처럼 보이는데, 손바닥만 한 인형에 안경테를 저렇게 고르게 수놓는 건 손으로 하기엔 꽤 성가신 일입니다. 배경이 전부 적당히 흐려져 있고 햇빛이 인형 털 끝에서만 반짝이는 것도 그랬습니다. 제 눈에는 AI 쪽으로 보였습니다. 그래서 그 두 장을 뜯어보고 프롬프트로 옮겨 봤습니다. 인스타에 올린 사람이 어떤 프롬프트를 썼는지는 모르니 그림에서 보이는 걸 거꾸로 적어 내려간 거고, 그렇게 만든 프롬프트에 가지고 있던 사진 몇 장을 넣어 봤습니다. 그림을 문장으로 거꾸로 적어 내려간다는 게 말은 쉬운데, 해 보면 그림에서 뭘 볼지부터 정해야 합니다. 저는 얼굴을 먼저 봤습니다. 고양이 눈은 반쯤 감긴 선 두 줄이고 가지 얼굴도 눈과 입이 가는 선 몇 개로 끝납니다. 펜으로 그린 선이 아니라 실로 박음질한 선처럼 보여서, 눈, 눈썹, 코, 입은 프린트가 아니라 embroidery나 felt applique로 만든다는 문장이 됐습니다. 그다음이 표면이었습니다. 크게 키워 보면 고양이 털 끝부분이 햇빛을 받아 하얗게 빛나는데, 매끈한 3D 렌더링과 제일 다른 데가 여기라서 재질 단락과 림 라이트 문장을 따로 만들었...
자세한 내용 보기

AI 부업으로 3개월에 2달러 벌고 50달러를 썼다는 증언을 봤습니다. 그 위에 광고가 네 겹입니다

이미지
4월부터 이 블로그에서 AI 부업 시장 얘기를 몇 번 했습니다. 그때는 좀 이른 얘기를 하는 기분이었는데, 요즘은 유튜버들도 뉴스도 부쩍 같은 얘기를 합니다. 심층 취재가 나오고, 피해 통계가 인용되고, 강의 광고를 뜯어보는 영상이 올라옵니다. 그런데 저는 이게 AI가 만든 새 시장이라고는 잘 안 느껴집니다. 시장은 원래 있었습니다. 고수익 알바가 있었고, 부동산 경매가 있었고, 과일 도매가 있었습니다. 재택으로 하루 몇 시간에 월 얼마, 소자본으로 시작해서 인생이 바뀐다는 카피가 붙던 시장이요. 지금은 거기에 AI가 들어가 있을 뿐인 것 같습니다. 바이브 코딩 강의를 결제하기 전에 를 쓸 때도 건물 경매와 쿠팡 소싱을 옆에 놓고 봤는데, 그때는 코딩이었고 이번엔 부업입니다. 그러다 최근에 올라온 심층 취재 영상을 하나 봤습니다. 분야별로 사람을 만나서 실제로 얼마를 버는지 묻는 구성이었는데, 보다가 두 번 멈췄습니다. 한 번은 거기 인용된 통계 때문이었습니다. 넉 달 전에 쓴 글 에 넣었던 한국소비자원 부업 강의 피해 숫자가 그대로 나왔습니다. 먼저 써뒀다는 게 반갑기보다는, 그사이에 아무것도 안 바뀌었다는 게 먼저 보였습니다. 다른 한 번은 제 글에 없던 숫자 때문이었습니다. 실제로 손에 쥔 돈이요. 3개월에 2달러 AI 음악으로 플레이리스트 채널을 해봤다는 사람이 이렇게 말합니다. 진짜로 플레이리스트로는 3개월 정도 운영을 해서 2점 몇 달러 벌었어요. 거기다가 제가 투자한 거는 한 50달러 이상 투자를 했죠. AI 구독들, 배급사에다가 등록하는 금액들. 3개월 동안 번 게 2달러 남짓이고 쓴 게 50달러가 넘습니다. 커피 한 잔 값을 벌겠다고 열 잔 값을 쓴 셈입니다. 다른 분야도 크게 다르지 않았습니다. 일러스트 쪽은 제일 많이 벌어본 게 한 달 50만 원이었고, AI로 글이나 자동화를 하는 쪽은 한 달 20만, 30만 원이면 잘 버는 거라고 했습니다. 그리고 이런 말이 붙었습니다. 이걸 시간제로 나눠서 보면 지금 최저임금도 ...
자세한 내용 보기

구글은 서울에서 모델이 아니라 에이전트를 판다

이미지
며칠 전에 브라우저 탭 세 개를 나란히 열어두고 있었습니다. 하나는 구글이 서울에서 연다는 AI Agents Live + Labs 등록 페이지였고, 하나는 앤트로픽이 6월에 최신 모델 접근을 정부 지침 때문에 막았다가 다시 연 공지였고, 나머지 하나는 오픈AI가 새 모델 라인업 일부를 미국 정부 요청으로 제한했다는 6월 말 기사였습니다. 원래는 서울 행사만 보려던 거였는데, 탭을 닫으려다가 세 화면이 한눈에 들어왔습니다. 뭔가 좀 어긋나 있다는 느낌이 들었습니다. 따로 보면 셋은 상관없는 뉴스입니다. 하나는 아시아 개발자 행사 초대장이고, 둘은 프런티어 랩의 접근 제어 사건입니다. 그런데 시기가 겹칩니다. 프런티어 모델 두 개가 6월 한 달 사이에 나란히 정부발 제한을 맞는 동안, 구글은 모델 자랑 대신 그 위에 얹는 것들, 그러니까 에이전트와 오케스트레이션과 프로덕션을 들고 서울로 오고 있었습니다. 저는 그 행사에 가본 것도 아니고 이 모델들을 직접 써본 것도 아닙니다. 세 조각을 나란히 놓고 본 게 전부입니다. 그런데 그렇게 놓고 보니 구글이 계속 말해온 멀티모델 유연성이라는 말이 갑자기 다르게 들렸습니다. 6월에 있었던 일 구글 얘기를 하려면 6월 얘기를 먼저 해야 할 것 같습니다. 6월 12일에 앤트로픽이 막 공개한 Fable 5와 Mythos 5의 접근을 그날로 끊었습니다. 회사가 알아서 조심한 게 아니었습니다. 앤트로픽 공지 를 보면 미국 정부가 국가안보 권한을 근거로 모든 접근을 중단하라는 수출통제 지침을 내렸고, 지침이 도착한 그 오후에 모델이 바로 내려갔습니다. 막힌 대상이 좀 특이했습니다. 미국 안이든 밖이든 상관없이 외국 국적자 전부였습니다. 앤트로픽에서 일하는 외국 국적 직원도 포함해서요. 국경이 아니라 여권으로 선을 그은 겁니다. 한국에서 이 모델을 업무에 붙여 쓰던 팀이라면, 자기가 뭘 잘못한 것도 없는데 어느 날 오후에 갑자기 못 쓰게 된 겁니다. 제가 그 팀에 있었다면 처음엔 장애인 줄 알았을 것 같습니다. API ...
자세한 내용 보기