PHP 8.2.35 긴급 보안 릴리스, 비인증 원격 코드 실행 취약점 2건 수정

버전 8.2.35, 8.3.36, 8.4.27, 8.5.12가 php-src GitHub에 올라왔다는데 나는 아무리 찾아도 안 보임.

WordPress 서버에서 session.upload_progress를 끄고 웹서버에서 multipart 요청을 403으로 막는 식으로 완화했다는 글이 있는데, 이거 Claude가 쓴 글 같음. 실제로 검증은 했는지 모르겠음.

나는 18분 전에 업데이트 깔았는데 이미 올라와 있더라.

Debian trixie 업데이트도 벌써 나왔더라. 나는 고쳐진 버전으로 바로 올렸음.

태그 커밋이 어떤 브랜치에도 안 속한다고 뜨는데, 포크에만 있는 건지 그냥 브랜치 연결이 없는 건지 모르겠음. 릴리스 실수일 수도 있겠다 싶음.

malloc 실패 검사가 추가됐는데 Linux에서 오버커밋 때문에 도달 가능한지 궁금함. 아주 큰 할당 한 번으로 노릴 수 있을지도 모르겠음.

PHP가 php.ini로 설정하는 자체 메모리 한도를 두고 내부에서 사용량을 추적하더라.

Wiz, Calif, OpenAI가 공동으로 조율한 공개라는데, 8월 24일에 신고하고 9월 21일에야 답한 건 좀 늦은 것 같음.

WordPress가 목록에 없는 게 이상함. 호스팅이랑 자체 호스팅을 다 합치면 제일 큰 PHP 설치본일 텐데.

이 두 달 동안 내부 사람들만 빠른 수정본을 받은 것 같음. 공개 전에 interim 수정이라도 먼저 풀었어야 한다고 봄.

Ubuntu LTS는 apt update를 여러 번 돌려도 아직 새 패키지가 안 잡히고, Laravel Forge도 업데이트 몰려서 먹통이라더라.