오늘 GeekNews는 PHP 코어에서 발견된 치명적 원격 코드 실행 취약점과 이에 대응하는 글로벌 공조가 가장 큰 화두였습니다. 여기에 PyPI에 유포된 변조 LiteLLM 패키지, CA 개인 키 복구 사고까지 보안 이슈가 연달아 올라왔고, DuckDB 2.0.0 LTS와 Mastodon 5.0, 크래프톤의 자체 LLM 공개 같은 릴리스 소식도 함께 눈에 띄었습니다.

PHP2Shell: PHP 코어에서 발견된 치명적 RCE 취약점

애플리케이션 코드가 아니라 PHP 엔진 자체의 메모리 안전성 문제로, 인증 없이 서버 코드 실행이 가능하다.

핵심 내용 Wiz Research가 PHP 코어의 메모리 안전성 취약점을 발견하고, 인증 없이 서버에서 코드를 실행하거나 프로세스 메모리를 읽는 공격을 실증했습니다. 중요한 점은 취약점이 사용자가 작성한 애플리케이션 코드가 아니라 PHP 엔진 자체에 있으며, PHP 5.4까지 거슬러 올라가는 버전들이 영향을 받는다는 사실입니다. 프레임워크나 라이브러리 업데이트로는 피할 수 없는 종류의 문제이므로, 언어 런타임 레벨의 보안 패치를 즉시 적용하는 것 외에는 실질적인 대안이 없습니다.

Patch the Planet: 에이전트가 발견하는 취약점에 대응하는 글로벌 공조

AI가 취약점을 찾아내는 시대, 방어자가 먼저 패치를 준비할 시간을 확보하는 협력 모델.

핵심 내용 OpenAI는 PHP의 심각한 취약점 대응을 위해 유지관리자, 연구자, 보안업체와 두 달간 협력했으며, 실제 수정과 배포는 PHP 유지관리자가 주도했습니다. AI의 취약점 발견 능력은 방어자가 공개 전에 패치와 보호책을 준비할 기회를 주지만, 동시에 공격자의 공격 도구와 익스플로잇 개발 속도도 함께 끌어올립니다. 오픈소스 유지관리자 한 명에게 모든 부담이 쏠리는 구조에서, 발견–조율–패치–공개로 이어지는 협업 파이프라인이 앞으로 얼마나 중요한지를 보여주는 사례입니다.

변조된 PyPI LiteLLM 1.107.0, 자격 증명 탈취 악성코드와 백도어 설치

정상 패키지의 릴리스가 통째로 오염된 전형적인 공급망 공격 사례.

핵심 내용 LiteLLM 1.107.0의 Linux·macOS·Windows용 wheel 7개에 자격 증명 탈취 악성코드와 원격 코드 실행 백도어가 포함됐고, PyPI는 해당 릴리스를 삭제했습니다. 악성 파일이 Python 시작 시 자동 실행되는 구조라면, litellm을 직접 import하지 않는 애플리케이션이나 pip, IDE 같은 환경까지 영향을 받을 수 있습니다. LLM 애플리케이션에서 널리 쓰이는 패키지인 만큼, 의존성 잠금(lockfile)과 해시 검증, 설치 후 아티팩트 점검의 필요성을 다시 확인시켜 줍니다.

DuckDB 2.0.0 LTS “Cinnamon Teal” — 서버 연결과 비동기 I/O 강화

분석용 데이터베이스가 원격 연결과 트리거까지 갖춘 역대 최대 릴리스.

핵심 내용 DuckDB 2.0.0 LTS가 Quack 프로토콜 개선, 비동기 I/O, VARIANT 통합, 트리거 등을 담은 역대 최대 규모의 기능 릴리스로 공개됐습니다. Quack의 성능과 안정성을 높이고, 원격 데이터베이스에 연결해 세션을 전환하는 CONNECT 문이 추가된 점이 눈에 띕니다. 로컬 임베디드 분석 엔진으로 출발한 프로젝트가 점차 서버·원격 워크로드로 영역을 넓히고 있다는 신호로, 데이터 파이프라인 설계 시 검토할 만한 변화입니다.

Qwen3-Coder, “미국 고객용"이라고 지시하면 더 취약한 코드를 생성

모델의 코드 생성 품질이 사용자가 지정한 대상에 따라 달라진다는 실험 결과.

핵심 내용 Hirundo가 Qwen3-Coder-30B-A3B-Instruct에 동일한 비밀정보 저장 앱을 반복 생성하게 한 실험에서, 미국 방산업체용 앱의 공격 성공률이 70%로 중국 방산업체용 59%보다 상대적으로 19% 높았습니다. 홍콩 민주주의 옹호 단체용 앱은 중립 고객용보다 다른 사용 패턴을 보였다고 합니다. 코드 생성 모델을 실무에 붙일 때는 프롬프트의 맥락 설정이 결과물의 보안성에 영향을 줄 수 있다는 점을 감안하고, 생성 코드에 대한 별도 보안 검증 단계를 두는 것이 안전합니다.

8비트의 신뢰, eMudhra의 CA 개인 키가 밀리초 만에 복구됨

무작위여야 할 개인 키가 사실상 한 바이트 값이었던, 신뢰 체계의 붕괴.

핵심 내용 eMudhra의 중간 인증기관 8개가 사용한 P-384 개인 키가 모두 한 바이트 값에 불과했고, 공개 인증서만으로 노트북에서 1초 안에 전부 복구됐습니다. 정상적인 P-384 개인 키는 무작위 384비트 값이어야 하지만, 해당 키는 최대 255번의 계산으로 찾을 수 있는 수준이었습니다. 인증서 체인을 신뢰하는 모든 시스템에 영향이 갈 수 있는 사안으로, 키 생성 과정의 검증이 형식적 절차에 그쳐서는 안 된다는 교훈을 남깁니다.

Meta Muse, 공유한 대화의 개인정보 노출로 공유 기능 중단

링크를 받지 않아도 제3자가 개인 대화를 열람할 수 있었던 AI 에이전트.

핵심 내용 Meta의 AI 에이전트 Muse에서 사용자가 공유한 대화를 제3자도 찾아 열람할 수 있는 문제가 발견됐습니다. 링크를 직접 전달받지 않아도 로그인 없이 개인 금융 정보와 기업 내부 자료에 접근할 수 있었고, 보안업체 Claroc은 과거 DNS 조회 기록을 모은 패시브 DNS 서비스에서 검색한 것으로 알려졌습니다. 공유 링크 기반 기능을 설계할 때 추측 가능한 식별자와 검색 노출을 어떻게 통제할지가 여전히 반복되는 실패 지점임을 보여줍니다.

Mastodon 5.0 — 웹 UI 개편과 그 설계 배경

기존 사용성은 지키면서 처음 온 사람의 진입 장벽을 낮추는 방향.

핵심 내용 출시를 앞둔 Mastodon 5.0이 게시물 작성기와 탐색 메뉴, 피드 디자인을 전면 개편합니다. 기존 사용자의 활용성을 유지하면서 처음 방문한 사람도 설명서 없이 쓸 수 있게 만드는 것이 목표이며, 게시물 작성기는 화면 하단 중앙에 뜨는 방식으로 바뀝니다. 분산형 소셜 네트워크가 대중적 진입을 노리며 UI 복잡도를 낮추는 흐름으로, 오픈소스 프로젝트의 인터페이스 리디자인 사례로 참고할 만합니다.

크래프톤, 자체 개발 30B급 고효율 LLM ‘Raon-1 mini’ 프리뷰 공개

MoE와 자체 선형 어텐션을 결합한 한국어·영어 특화 오픈웨이트 모델.

핵심 내용 크래프톤이 모델 아키텍처 설계부터 사전학습까지 독자 개발한 30B급 오픈웨이트 LLM ‘Raon-1 mini’ 프리뷰를 공개했습니다. 한국어·영어 대화와 추론, AI 에이전트 작업에 초점을 맞췄고, MoE(Mixture of Experts)와 자체 개발한 선형 어텐션 기술을 결합해 전체 약 300억 규모로 구성됐습니다. 게임사가 자체 파운데이션 모델을 내놓는 흐름은 사내 AI 에이전트와 한국어 워크로드에서 선택지가 넓어진다는 의미가 있습니다.

EA, BioWare 폐쇄

스튜디오 폐쇄와 함께 차기 Mass Effect 개발이 중단됐다.

핵심 내용 EA가 BioWare를 폐쇄하고 초기 개발 단계였던 차기 Mass Effect 개발을 중단했습니다. Bloomberg에 따르면 EA는 약 400명을 감원하며, 여기에는 BioWare 직원 약 50명이 포함됩니다. 이번 조치는 550억 달러 규모의 EA 비상장 전환 과정에서 나온 것으로, 대형 퍼블리셔의 구조조정이 오랜 명성의 스튜디오에도 예외가 아니라는 점을 보여줍니다.

Show HN: VoidAccess — 검색 질의에서 그래프까지, 오픈소스 다크웹 OSINT

조사 질의를 구조화된 위협 인텔리전스로 바꾸는 자체 호스팅 도구.

핵심 내용 VoidAccess는 다크웹 조사 질의를 구조화된 위협 인텔리전스로 전환하는 자체 호스팅 가능 도구로, 수집·정보 보강·관계 매핑·내보내기를 하나의 작업 흐름으로 연결합니다. 16개 이상의 Tor 검색 엔진과 공개 웹 소스를 병렬로 검색하고, 정규식과 개체명 인식, 선택적 처리를 조합해 결과를 정리합니다. 자체 인프라에서 OSINT 파이프라인을 운영하려는 보안팀에게 실용적인 출발점이 될 수 있습니다.

온갖 제약 속에서도 빛나는 타이포그래피

화면에서 글자가 기울어 보이는 현상은 이탤릭이 아니라 렌더링 방식의 부산물이다.

핵심 내용 디스플레이에서 글자가 기울어 보이는 현상은 이탤릭체 때문이 아니라 화면 갱신 방식의 부산물입니다. 위에서 아래로 한 줄씩 갱신하는 동안 가로 위치가 바뀌면 뒤따르는 줄이 조금씩 왼쪽에 그려지며, 이는 사진의 롤링 셔터와 같은 문제입니다. 스크롤 방향이나 화면 갱신 타이밍에 따라 체감이 달라지는 만큼, 애니메이션과 텍스트 렌더링을 다룰 때 참고할 만한 내용입니다.

기타 주목할 소식

  • PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 보안 릴리스 — 인증 없이 원격 코드 실행이 가능한 취약점 2건을 수정, 모든 사용자에게 즉시 업데이트 권고 (링크)
  • 오늘의 PHP 보안 릴리스와 PHP 보안 강화 방안 — 메모리 관리와 오류 처리 경로에서 발생한 치명적 취약점 2건 대응 (링크)
  • PHP 8.2.35 보안 업데이트, GitHub에 공개 — CVE-2026-109618, CVE-2026-109619 수정 (링크)
  • PHP, 중대 취약점 대응 보안 릴리스 예고 — 두 취약점 모두 CVSS v4.0 9.2점, 10월 21일 14:00 UTC 예정 (링크)
  • 네덜란드 국가사이버보안센터, PHP 취약점으로 웹사이트 일시 중단 — 예방 조치로 공식 사이트를 오프라인 전환 (링크)
  • No Kings 계정 차단이 보여준 것 — 단일 사업자가 소통 채널을 끊을 수 있는 구조와 독립 채널 확보의 필요성 (링크)
  • 파리협정의 1.5°C 목표는 더 이상 실현 가능하지 않음 — UNEP 2026년 배출량 격차 보고서, 기준 초과가 임박·불가피 (링크)
  • 또 다른 유행병: 벤조디아제핀을 끊으려는 시도 — 장기 복용 후 중단이 남기는 수개월~수년의 금단 (링크)

오늘의 한 줄 정리: PHP 코어 취약점 하나가 발견–조율–패치–공개로 이어지는 글로벌 공조와 국가기관의 예방적 사이트 중단까지 불러온 하루였고, LiteLLM 공급망 공격과 eMudhra CA 키 사고까지 겹치며 “런타임과 의존성, 키 생성"이라는 기반 계층의 신뢰가 여전히 가장 취약한 지점임을 보여줬습니다.

매일 아침 GeekNews 소식을 릿치 블로그에서 만나보세요.