Tell HN: CVSS 10.0인 PHP 원격 코드 실행 CVE 2건 공개 예정

Hacker News 의견들 lol768: 모두를 위해 세부 내용을 전면 공개하는 편이 나은 시점이 있는데, 이미 몇 시간 전에 그 시점을 넘겼다고 봄. 유출 정보가 얼마나 믿을 만한지는 모르지만, Twitter가 다른 어떤 곳보다 나은 정보원이 된 상황이 무척 답답함. 직접 서비스를 호스팅하는 입장에서는 수정 빌드가 나오기 전이라도 방어책을 찾아볼 정보가 필요함. 이미 실제 공격에 악용되고 있을 것으로 의심하며, 이제 개념 증명 코드까지 올라옴. https://x.com/J4ck3LSyN/status/2112703096443097263. jwitthuhn: 책임 있는 공개에 참여한 일부가 책임 있게 행동하지 않아 정보가 유출된 듯함. 해당 트윗이 사실이라면 정보가 공개된 이상 수정본도 바로 배포해야 함. 추가로, 영향받는 버전에서는 php.ini에 session.upload_progress.enabled = Off를 설정하는 것이 완화책임. phab: 취약점 악용 장면이라고 하는 영상이 올라왔는데, 섬뜩함. https://x.com/k_firsov/status/2112641845926989944. 1over137: 이 링크는 X 계정 없이도 볼 수 있는 듯함. https://nitter.app/k_firsov/status/2112641845926989944. vincent_s: 당장 할 수 있는 조치는 세션 업로드 진행률 기능 끄기와 웹 서버에서 multipart 요청 차단하기임. 자세한 내용은 다음 링크에서 확인 가능함. https://www.vincentschmalbach.com/cve-2026-109618-and-cve-20.... potaytopotahto: 공격 세부 정보가 이미 Twitter에 유출된 듯함. 그 정보가 맞다면 업데이트할 때까지 session.upload_progress.enabled = Off 설정으로 완화할 수 있음. 4lun: 그것만으로는 부족한 듯함. PHP 8.6 릴리스 관리자가 Reddit에서 INI 설정만으로는 보호할 수 없고 PHP 패치가 필요함을 밝힘. https://x.com/johnplaysdf/status/2112737802379047099?s=46 https://www.reddit.com/r/PHP/comments/1xb2utu/comment/phyu5m.... rbarden: 널리 공유되는 원본 영상을 올린 사람도 이 완화책을 확인해 줌. https://twi...