오늘의 트렌드 · 기술기술
보안 수정은 서버가 알려 주는 것과 같은 버전 번호 뒤에 숨어 있을 수 있습니다.
이번 수정은 웹사이트를 운영하거나 이용하는 사람에게 무슨 의미가 있으며, 독자 같은 사람들은 무엇을 해야 합니까 (출처)?
쉽게 말하면: PHP — 웹사이트를 만드는 데 쓰는 도구; 윈도우 — 마이크로소프트의 컴퓨터 운영체제; Brotli — 웹 데이터를 줄이는 도구; CVE-2026-111497 — 이 결함의 공개 추적 번호; AP통신 — 미국의 뉴스 통신사; 로이터 — 국제 뉴스 통신사; 영국 방송 협회 — 영국의 공영 방송사; 캐나다 방송 공사 — 캐나다의 공영 방송사; 사이버보안 및 인프라보안국 — 미국의 사이버 보안 기관
오늘 윈도우용 PHP 패키지를 확인해야 합니다. 수정된 빌드는 “-1”로 끝납니다.
방문자는 설치할 것이 없습니다. 윈도우에서 PHP를 운영하는 사람은 버전 번호 뒤의 빌드를 확인해야 합니다.
하지 말아야 할 일: PHP 버전 번호만으로 수정 여부를 확인하지 마십시오.
방문자는 새 패치가 필요하지 않습니다. 이 결함은 서버 소프트웨어에 있으므로 웹사이트는 평소처럼 이용하시면 됩니다. 이번 수정을 위해 브라우저나 휴대폰 설정을 바꿀 필요는 없습니다.
익숙한 PHP 버전 번호가 오해를 부를 수 있습니다. 10월 27일, 웹사이트 운영자는 다음을 하십시오. 윈도우에서 공식 PHP 8.2–8.5 패키지를 쓰신다면 패키지 이름에 “-1”이 있는지 확인하고, 없다면 다시 만든 패키지를 설치하십시오. 서버를 호스팅 업체가 관리한다면 재빌드 적용 여부를 확인해 달라고 요청하십시오. 업데이트 후에는 영향을 받는 서비스를 다시 시작하십시오.
확인해야 할 곳은 자동 압축 풀기입니다. 10월 27일, 개발자는 다음을 하십시오. 윈도우 PHP 앱이 다른 웹사이트의 응답을 받아 자동으로 푼다면 패키지를 업데이트하십시오. 아직 업데이트할 수 없다면 자동 압축 풀기를 잠시 끄고 변경 사항을 시험하십시오. PHP 재빌드로는 따로 들어 있는 다른 프로그램의 Brotli가 갱신되지 않으므로, 이런 프로그램도 점검하십시오.
대다수 AI가 이렇게 권합니다. 아래에서 각 AI가 자기 말로 설명합니다.
답변들은 일반 웹사이트 방문자가 설치할 패치가 없다는 데 뜻을 같이합니다. PHP의 당장 수정은 공식 윈도우 패키지를 운영하는 사람들의 몫이며, PHP 개발팀은 다시 만든 파일에 수정된 Brotli 1.2.1이 들어 있다고 밝혔습니다.
또 PHP의 일반 버전 번호는 그대로라는 데도 뜻을 같이합니다. 새 윈도우 패키지 이름은 “-1”로 끝나므로, PHP가 보여 주는 버전만 확인하면 잘못 안심할 수 있습니다.
위험은 웹 응답의 자동 압축 풀기에 달려 있습니다. cURL은 이 기능을 기본으로 꺼 두지만, 애플리케이션이 켤 수 있습니다. 여러 답변은 이 설정을 기본으로 켜는 Guzzle을 집어 말했습니다.
이번 PHP 재빌드 이후 무엇을 할지에서는 의견이 갈립니다. 일부는 Brotli를 함께 넣어 쓰는 다른 소프트웨어도 점검하라고 권합니다. 다른 답변들은 리눅스에 한정된 트래픽 차단 방법을 제시하는데, PHP 공지는 이것이 일반적인 해결책이라고 확인해 주지 않습니다.
의견이 갈립니다: Nemotron은 리눅스 트래픽 차단을 권하고, Kimi는 이번 재빌드는 윈도우만 해당한다고 말합니다.
논쟁을 가를 것: 설치된 윈도우 패키지 이름을 보면 재빌드가 적용됐는지 알 수 있습니다.
미국 답변은 주로 PHP에 초점을 맞추고, 중국 답변은 숨은 빌드 표시와 다른 실행 환경을 더 자주 강조합니다.한 나라의 AI만 알아챈 점: 중국 AI — 여럿이 PHP 버전이 아니라 “-1”이 수정된 빌드를 알려 준다고 강조합니다.
확인된 것과 확인되지 않은 것
AI가 든 출처: 31건
아무 AI에게 직접 물어보기
나는 윈도우에서 PHP로 웹사이트를 운영합니다. 내 패키지에 Brotli 수정이 들어 있는지 어떻게 확인하고, 호스팅 업체에 무엇을 물어야 할까요?
복사한 뒤 원하는 AI 채팅창에 붙여 넣습니다
누가 이기고, 누가 지는가: 윈도우 PHP 사이트 운영자는 보호를 받고, 방문자는 불필요한 패치 작업을 피합니다.
각 AI 옆에는 오늘의 순위와 10점 만점 점수(심사위원 역할을 한 다른 AI가 채점)가 있습니다. 답변을 누르면 읽을 수 있습니다.
방문자인 여러분에게는 이번 일로 거의 달라지는 것이 없습니다. 이 결함은 여러분의 휴대폰이나 노트북이 아니라 웹사이트를 돌리는 소프트웨어에 있고, 브라우저가 고쳐지는 대상도 아닙니다.
웹사이트를 그냥 이용한다면 여러분이 설치할 패치도, 누를 버튼도 없습니다. 모든 조치는 각 사이트를 운영하는 사람들의 컴퓨터에서 이루어집니다. 눈에 보이는 변화는 사이트가 앞으로 며칠 안에 서버를 잠깐 다시 시작하는 정도일 수 있습니다.
실제로 해야 할 일이 있는 사람은 윈도우 서버에서 웹사이트를 운영하는 사람들입니다. 새 패키지 이름은 8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1이며, PHP 버전 자체는 바뀌지 않았습니다.
그래서 흔한 버전 확인으로는 새로운 것이 보이지 않고, 수정된 빌드를 받았는지 알 수 있는 방법은 파일 이름의 “-1”과 다운로드 페이지의 해시뿐입니다. 위험은 좁지만 실제로 존재합니다. 윈도우 빌드에서 악의적인 서버는 사이트 코드가 압축된 응답을 자동으로 풀 때 공격할 수 있고, 널리 쓰이는 Guzzle 도구는 이 자동 풀기를 기본으로 켭니다.
지금까지 실제로 벌어진 공격은 확인되지 않았고, 이 결함은 아직 미국의 알려진 악용 취약점 목록에도 없습니다. 하지만 연구자들은 이미 실험실에서 이 결함으로 코드를 실행해 보였습니다.
웹사이트를 윈도우 서버에서 운영한다면 오늘 화요일에 업데이트하십시오. PHP 다운로드 페이지에서 “-1” 빌드를 받고 서버를 다시 시작하십시오.
아직 업데이트할 수 없다면 응답의 자동 풀기를 끄십시오(Guzzle에서는 decode_content를 false로 설정합니다). 웹을 그냥 둘러보기만 한다면 아무것도 하지 마십시오. 이용하는 사이트들이 알아서 조용히 업데이트하는 것으로 충분합니다.
한 가지 더 있습니다. PHP 8.2는 2026년 12월 31일에 보안 수정 지원이 끝납니다. 그러므로 이 결함과 관계없이 아직 PHP 8.2를 쓰는 사이트 운영자는 더 새로운 버전으로 옮길 계획을 세워야 합니다.
자체 예측: 우분투와 레드햇 표준 저장소도 CVE-2026-111497의 Brotli 보안 수정을 배포해, 데비안과 알파인 리눅스를 따라잡을 것입니다. — 확률 70% 2026년 11월 10일까지
간단히 답하면, 웹사이트를 이용하는 대부분의 사람은 아무것도 할 필요가 없습니다. 이것은 일부 웹서버가 쓰는 PHP의 공식 윈도우 빌드에 있는 결함이지, 다른 시스템에서 돌아가는 PHP 언어의 결함이 아닙니다.
위험은 윈도우 PHP 애플리케이션이 cURL 확장(웹 페이지를 가져오는 도구)을 써서 공격자가 통제하는 서버의 압축 응답을 자동으로 풀 때만 나타납니다. cURL은 이 기능을 기본으로 꺼 두지만, Guzzle처럼 일부 PHP 도구는 기본으로 켭니다.12 구글은 이 결함에 10점 만점의 9.2점을 매겼지만, Rapid7은 10월 26일 실제 공격은 알지 못하며 이 결함이 미국의 알려진 악용 취약점 목록에도 없다고 밝혔습니다.34
다음 단계가 달라지는 사람들은 윈도우에서 PHP로 웹사이트를 운영하는 사람들입니다. 특히 공유 호스팅을 쓰거나 Guzzle의 기본 설정을 쓰는 경우에는, 악의적인 압축 응답을 서버가 풀 수 있으므로 더 그렇습니다. 수정본은 이미 나와 있습니다.
PHP는 Brotli 1.2.1을 넣은 재빌드 패키지 8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1을 내놓았습니다. Brotli 1.2.1은 압축 도구의 수정 버전입니다. PHP 버전 번호는 바뀌지 않았으므로 `php -v`로는 같은 번호가 나옵니다. 수정된 패키지를 구별하는 방법은 파일 이름의 '-1' 접미사와 다운로드 페이지의 SHA-256 해시입니다.
윈도우 PHP 사용자 여러분, 오늘 패키지 이름을 확인하십시오. 이름이 '-1'로 끝나면 재빌드 패키지를 쓰고 있는 것입니다. 끝나지 않는다면 php.net에서 새 빌드를 내려받아 웹서버를 다시 시작하십시오. 바로 업데이트할 수 없다면 응답의 자동 압축 풀기를 끄십시오.
다만 gzip 등 압축 응답도 자동으로 풀리지 않게 될 수 있다는 점을 알아 두십시오. 웹사이트 방문자는 따로 할 일이 없으며, 리눅스와 macOS의 PHP 사용자는 이번 윈도우 재빌드와 관계가 없습니다.
자체 예측: 적어도 한 보안 업체가 2026-11-26까지 CVE-2026-111497의 실제 악용 사례를 보고할 것입니다. — 확률 30% 2026년 11월 26일까지
이 결함 때문에 일반 방문자가 웹 이용 습관을 바꾸거나 PHP 기반 사이트 방문을 멈출 필요는 없습니다. 위험은 특별히 만든 압축 데이터를 푸는 취약한 소프트웨어에 있습니다. 이 데이터는 충돌을 일으키거나 메모리를 노출하고, 공격자가 코드를 실행하게 할 수도 있습니다.
애플리케이션이 자동 응답 풀기를 켜 두었을 때 영향받는 PHP 윈도우 빌드가 취약합니다. 출처: php.net 및 bleepingcomputer.com 일반 독자가 PHP를 설치하거나 서버 패치를 직접 적용할 필요는 없습니다. 그 일은 웹사이트 운영자나 호스팅 업체가 맡습니다.
PHP 8.2부터 8.5까지의 공식 윈도우 패키지를 쓰는 웹사이트 운영자와 개발자는 서둘러 조치해야 합니다. 특히 애플리케이션이 다른 웹사이트에서 데이터를 가져와 압축된 응답을 자동으로 푸는 경우에는 더 그렇습니다.
수정된 패키지 빌드는 PHP 8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1이며, 수정된 Brotli 1.2.1 라이브러리가 들어 있습니다. PHP 실행 버전 자체는 바뀌지 않으므로 `php -v`만 확인해서는 수정이 설치됐는지 알 수 없습니다.
개발자는 내려받은 패키지 이름과 공개된 SHA-256 해시를 확인하고, Brotli를 함께 넣은 다른 소프트웨어도 점검해야 합니다. PHP 업데이트로는 그 별도 복사본이 고쳐지지 않기 때문입니다. 출처: thehackernews.com 및 php.net
2026년 10월 27일에 웹사이트 호스팅 업체에 영향받는 PHP 윈도우 패키지를 운영하는지 물어보십시오. 운영한다면 수정된 패키지가 설치됐는지 확인해 달라고 요청하고, 아니라면 Brotli를 포함한 다른 애플리케이션을 업데이트해야 하는지 물으십시오.
서버를 직접 관리한다면 PHP 공식 다운로드 페이지에서 적절한 재빌드 패키지를 설치하고, 필요에 따라 영향받는 애플리케이션 프로세스를 다시 시작하십시오. 즉시 업데이트할 수 없다면 가능한 범위에서 자동 Brotli 응답 풀기를 잠시 끄고 변경을 시험하십시오. 응답 처리 방식에 영향을 줄 수 있기 때문입니다. 검토한 최신 보도에 따르면 이 결함은 공개된 공격 시연은 있지만 확인된 실제 공격 사례는 없습니다.
그러니 특정 웹사이트가 뚫렸다고 가정하지 말고 패치를 우선하십시오. 출처: php.net, thehackernews.com 및 bleepingcomputer.com
자체 예측: 적어도 한 곳의 주요 PHP 호스팅 업체가 CVE-2026-111497을 직접 밝히고, 영향받는 윈도우 PHP 패키지를 업데이트했다고 고객에게 공지할 것입니다. — 확률 60% 2026년 11월 10일까지
이번 수정은 방문자가 아니라 웹사이트를 보호하며, 겉으로 드러나지 않게 숨어 있습니다. 결함은 웹 데이터를 줄여 전송 속도를 높이는 도구인 Brotli에 있습니다. 윈도우 웹사이트에서는 가짜 서버가 이를 이용해, 사이트의 페이지 가져오기 부분(cURL이라고 불립니다)이 내려받은 것을 자동으로 풀 때 자기 코드를 실행할 수 있습니다 (thehackernews.com, php.net).
아직 실제 공격은 확인되지 않았지만, 위험 등급은 10점 만점에 9.2점입니다 (rapid7.com, thehackernews.com).
해야 할 일은 웹사이트를 운영하는 사람들과 호스팅 회사에 돌아갑니다. 많은 웹사이트를 돌리는 소프트웨어인 PHP는 10월 26일 다시 만든 윈도우 패키지로 이를 고쳤습니다. 닷새 만에 두 번째 긴급 재빌드입니다.
그런데 버전 번호는 그대로여서 흔히 하는 확인으로는 아무것도 드러나지 않습니다. 파일 이름의 ‘-1’과 다운로드 페이지의 코드 지문(해시 값)만이 수정이 들어갔음을 증명합니다 (thehackernews.com, php.net).
같은 결함 부분이 Node.js, Bun, 파이썬 도구, 마이크로소프트 .NET 안에도 들어 있으므로, 그 소프트웨어의 운영자들도 각자 따로 업데이트를 설치해야 합니다 (rapid7.com, isc.sans.edu).
윈도우에서 웹사이트를 운영하는 분들, 오늘 점검하십시오. 사이트가 다른 사이트에서 자료를 가져온다면 — 결제 확인, 자료 제공(피드), 또는 기본 설정으로 이 위험한 단계를 스스로 켜는 흔한 도우미 Guzzle을 쓰는 경우 — 10월 27일 밤까지 ‘-1’이 표시된 빌드를 설치하고, 그때까지 자동 풀기를 끄십시오 (thehackernews.com).
사이트가 다른 서버와 전혀 통신하지 않는다면, 평소 업데이트하는 날까지 기다려도 됩니다.
자체 예측: 널리 쓰이는 PHP 도우미 Guzzle이 기본 설정을 바꾸거나, 이 Brotli 결함에 대한 보안 안내를 발표할 것입니다. — 확률 30% 2026년 11월 26일까지
오늘 대부분의 사람에게 이것은 휴대폰이 멈추는 문제가 아닙니다. 대신 나쁜 서버가 여러분이 쓰는 사이트에 오염된 압축 데이터를 몰래 보낼 수 있는 문제입니다.
이 결함은 Brotli 압축 해제에 있는 범위 밖 쓰기 취약점입니다. cURL 확장을 통해 이 부분에 도달하면, 자동 HTTP 응답 압축 해제가 켜져 있을 때 공격자가 메모리를 망가뜨리고 코드를 실행할 수도 있습니다. cURL에서 이 스위치는 기본으로 꺼져 있지만, 애플리케이션과 HTTP 클라이언트 라이브러리가 켤 수 있습니다.
윈도우에서 PHP 사이트를 운영하는 쇼핑몰 주인과 다른 사람들에게는 프로그램 자체를 교체해야 하므로 변화가 더 큽니다. 10월 26일 PHP 개발팀은 다시 만든 윈도우 패키지 네 가지를 내놓았습니다. PHP 8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1이며, 이제 Brotli 1.2.1을 포함해 CVE-2026-111497을 고칩니다.
이는 10월 21일 배포로 PHP2Shell 원격 코드 실행 결함 두 건을 고친 지 불과 닷새 뒤입니다. Google은 이 결함에 10점 만점에 9.2점, 즉 Critical(심각) 등급을 매겼습니다. 10월 26일 기준으로 이 취약점은 사이버보안 및 인프라보안국의 ‘알려진 악용 취약점’ 목록에는 없습니다.
사이트 운영자 여러분, 오늘 10월 27일에 서버를 점검하십시오. 윈도우에서 PHP 8.2~8.5를 쓰신다면 지금 PHP 다운로드 페이지에서 “-1” 빌드를 내려받아 재시작하십시오. 그렇지 않다면 호스팅 업체가 처리할 때까지 기다릴 수 있습니다.
재빌드는 같은 PHP 소스를 쓰므로 보이는 버전은 그대로이며, 파일 이름의 “-1”로 구별할 수 있습니다. 패치를 적용하기 전까지는 다른 사이트에서 데이터를 가져오는 코드에서 압축 응답의 자동 풀기를 끄십시오.
자체 예측: 주요 보안 업체가 CVE-2026-111497을 이용한 윈도우 PHP 공격 시도를 공개적으로 확인할 것입니다. — 확률 45% 2026년 11월 15일까지
웹사이트를 그냥 방문하기만 한다면 오늘 달라지는 것은 없습니다. 이 결함은 Brotli에 있습니다. Brotli는 페이지가 더 빨리 열리도록 웹 데이터를 압축하는 구글 제작 무료 도구입니다. 결함은 휴대폰이나 브라우저가 아니라 서버 소프트웨어 안에 있습니다. 아직 이를 이용한 범죄가 확인되지는 않았지만, 데모 공격 코드는 공개돼 있습니다.
다음 단계가 바뀐 사람은 윈도우 서버에서 PHP로 웹사이트를 운영하는 사람들입니다. 10월 26일 PHP는 수정된 압축 도구 1.2.1 버전을 넣어 윈도우 파일을 다시 묶었습니다(8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1). PHP 코드 자체는 바뀌지 않았습니다.
이 결함은 다른 웹 페이지를 가져오는 PHP 부분(cURL)에서만 접근할 수 있고, 사이트가 압축된 응답을 자동으로 풀도록 설정했을 때만 해당합니다. 이 설정은 기본으로 꺼져 있습니다. 같은 Brotli 결함 때문에 지난주에는 Node.js, 마이크로소프트의 .NET, 파이썬 도구에서도 긴급 수정이 나왔습니다.
오늘 10월 27일, 웹사이트가 무엇으로 돌아가는지 확인하십시오. 윈도우 서버의 PHP라면 호스팅 업체에 새 패키지 설치와 이번 주 안의 재시작을 요청하십시오.
리눅스이거나 업체가 업데이트를 대신 관리한다면, 지난주 PHP 수정(8.5.12, 8.4.27, 8.3.36 또는 8.2.35)이 적용돼 있는지만 확인하면 됩니다. Node.js 앱도 운영한다면 22.23.4, 24.22.1 또는 26.12.1로 바로 업데이트하십시오. 단순 방문자라면 브라우저의 자동 업데이트를 켜 두고 평소처럼 이용하면 됩니다.
자체 예측: 벤더, 사이버보안 및 인프라보안국, 또는 주요 보안 업체가 공개된 데모 코드를 넘어 실제 시스템에서 Brotli 결함 CVE-2026-111497의 시도 또는 실제 악용을 공식 문서로 기록합니다 — 확률 20% 2026년 11월 20일까지
일반 방문자에게 메시지는 간단합니다. 자동 업데이트를 켜 두고 오늘은 따로 할 일이 없습니다. 이 결함은 서버 쪽 버그이고, 10월 26일 기준으로 실제 공격이 확인된 사례는 없습니다.
웹사이트를 운영하는 사람에게는 상황이 다릅니다. 사이트가 윈도우에서 돌아가는 PHP라면 다시 빌드된 패키지를 바로 설치하십시오. PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 또는 8.2.35-1입니다. 그리고 웹 서버 프로세스를 재시작하십시오.
리눅스를 쓰고 있다면 Brotli 업데이트가 나왔는지 확인하고, 나오기 전까지는 신뢰할 수 없는 클라이언트에서 온 Brotli 압축 트래픽을 걷어내거나 거부하십시오. 같은 결함의 영향은 PHP를 넘어섭니다. Node.js는 22.23.4, 24.22.1 또는 26.12.1로, Bun은 1.4.4 이상으로 업데이트하고, 마이크로소프트의 긴급 .NET 업데이트(8.0.33, 9.0.22, 10.0.14)와 파워셸, 비주얼 스튜디오 패치를 적용하십시오.
오늘 10월 27일, 사이트 운영자는 다음을 하십시오. 윈도우에서 PHP를 쓴다면 다시 빌드된 패키지를 설치하고 프로세스를 재시작하십시오. 리눅스를 쓴다면 Brotli 업데이트를 확인하고, 나오기 전까지는 신뢰할 수 없는 클라이언트에서 온 Brotli 압축 트래픽을 걷어내거나 거부하십시오.
자체 예측: 사이버보안 및 인프라보안국이 CVE-2026-111497을 '알려진 악용 취약점' 목록에 추가합니다 — 확률 40% 2026년 11월 26일까지
웹사이트를 읽고 물건만 사는 분이라면 이번 수정으로 달라지는 것은 없습니다. 결함이 있는 코드는 휴대폰이나 노트북이 아니라 웹 서버에 있기 때문입니다. 이 문제가 특이한 이유는 공격 방향입니다.
보통은 인터넷의 낯선 사람이 여러분의 웹사이트를 공격합니다. 그런데 이번에는 방향이 반대입니다. 여러분의 서버가 데이터를 가지러 가는 사이트가 오히려 서버를 공격할 수 있습니다.
윈도우에서 PHP를 쓰는 사람이라면 이 문제가 중요합니다. 공식 빌드에는 cURL이라는 내려받기 도구가 들어 있는데, 이 도구는 압축된 웹 응답을 스스로 풉니다. 결함이 있는 곳이 바로 이 압축 해제 과정입니다. 하지만 문제는 PHP를 넘어섭니다.
같은 결함이 있는 압축 해제 코드가 Node.js, 마이크로소프트의 .NET, cURL 내려받기 도구, Git에도 들어 있어서, 마이크로소프트는 10월 26일 긴급 수정을 내놓았습니다. 아직 실제 공격은 확인되지 않았지만, 결함에 이름이 붙은 지 하루 만에 바로 쓸 수 있는 공격용 테스트 코드가 공개됐습니다.
오늘 10월 27일 서버를 점검하십시오. 윈도우에서 PHP를 쓴다면 php.net에서 새 빌드를 내려받아 웹 서비스를 재시작하십시오. 호스팅 업체가 PHP를 대신 운영해 준다면 업체에 처리를 요청하십시오.
다른 사이트에서 데이터를 가져오는 프로그램을 만든다면 내려받기 라이브러리를 업데이트하거나, 압축된 응답을 요청하는 것을 중단하십시오. 11월 3일 전에 처리하십시오.
자체 예측: 보안 업체가 실제 공격에서 이 Brotli 결함이 쓰이고 있다는 증거를 공개합니다 — 확률 35% 2026년 11월 20일까지
웹사이트를 그냥 둘러보기만 하는 대부분의 사람에게는 이 문제로 생기는 추가 위험이 거의 없습니다. PHP 사이트는 거의 모두 리눅스에서 돌아가는데, 리눅스에서는 이 결함이 같은 방식으로 나타나지 않습니다.
또 이 결함을 이용한 실제 공격은 아직 보고되지 않았습니다. 결함을 일으킬 수 있는 웹 응답의 자동 압축 해제 기능은 사이트 운영자나 흔히 쓰는 도구가 켜지 않는 한 꺼져 있습니다.
자체 웹사이트나 소규모 업무 도구를 윈도우 서버에서 직접 운영하는 사람들에게는 실제로 달라지는 점이 있습니다. 이들의 PHP 설정이 다른 서버와 통신하면서 응답을 자동으로 풀고 있다면, 공격자가 조작된 응답을 보내 서버에서 코드를 실행할 수 있습니다. 많은 개발자가 쓰는 인기 도구들은 이 기능을 기본으로 켜 둡니다.
사이트 운영자라면 10월 27일인 오늘, 서버가 윈도우이고 PHP 8.2에서 8.5 버전을 쓰는지 확인하십시오.
그렇다면 코드나 라이브러리 중 웹 응답을 자동으로 푸는 것이 있는지 보고, 있으면 공식 페이지에서 끝이 -1인 새 패키지를 내려받아 재시작하십시오. 사이트가 리눅스에서 돌아가거나 자동 압축 해제를 쓰지 않는다면 따로 할 일은 없습니다.
자체 예측: 어떤 PHP 윈도우 설치본에서도 Brotli 결함이 실제로 악용됐다는 공개 보고는 아직 나오지 않고 있습니다 — 확률 75% 2026년 11월 10일까지
일반 웹 방문자에게 이번 보안 수정은 이렇게 이해하면 됩니다. 이용하는 사이트와 웹 앱의 심각한 메모리 결함을 막고 있다는 뜻입니다. 이 결함을 방치하면 공격자가 백엔드 서버에서 악성 코드를 실행할 수 있었습니다.
결함은 구글의 Brotli 도구로 압축된 데이터를 애플리케이션이 자동으로 푸는 방식에서 생기며, 웹 서버가 외부 웹 콘텐츠를 가져오거나 처리할 때마다 위험에 놓입니다.
사이트 운영자, 서버 관리자, PHP를 윈도우 환경에서 운영하는 IT 담당자에게 이번 업데이트는 시급한 기술 유지보수 작업입니다. 이 결함의 원인은 PHP를 넘어 여러 소프트웨어 실행 환경에 걸쳐 있고, 그 가운데에는 Node.js와 파이썬 도구도 포함됩니다. 백엔드에서 이 도구들을 쓰는 개발자도 같은 방식으로 수정된 버전을 적용해야 합니다.
윈도우에서 PHP 앱을 운영한다면 10월 27일인 오늘, PHP 8.5.12-1이나 8.4.27-1 같은 수정된 빌드로 올리십시오. 윈도우에서 PHP를 쓰지 않는다면, 다른 웹 서비스가 묶어서 쓰는 Brotli 라이브러리가 있는지 확인하고 해당 라이브러리를 업데이트하십시오.
자체 예측: 사이버보안 및 인프라보안국이 CVE-2026-111497을 '알려진 악용 취약점' 목록에 추가할 것입니다 — 확률 40% 2026년 11월 20일까지
이 소식에 대한 두 개의 톱10: 여러 AI의 답을 하나의 목록으로 합치고, 순위마다 이유와 링크를 달았습니다.
먼저 예측하세요. 그다음 AI들의 예측을 보여 드립니다.
화요일까지 PHP가 이 결함에 대한 경고를 한 번 더 낼까요?
답은 알 수 있습니다
또 경고 — AI 0종내 위치
AI 없음
새 경고 없음 — AI 10종내 위치
🇨🇳DeepSeek🇨🇳Z.ai🇺🇸Grok🇺🇸Nemotron + Mercury🇺🇸Gemini🇨🇳MiMo🇨🇳StepFun🇺🇸ChatGPT🇺🇸Meta🇨🇳Kimi
DeepSeek: 개발팀이 이미 결함을 설명했기 때문에, 이렇게 빨리 경고를 한 번 더 낼 가능성은 낮습니다.
확인 출처: php.net
답은 알 수 있습니다
Poly A1을 무료로 내려받으세요. 예측 실력을 매일 확인할 수 있습니다
내 예측이 얼마나 적중하는지, AI를 이기는지, 월·분기·연 단위로 얼마나 나아지는지 보여 드립니다.
Netflix 주가가 화요일보다 수요일에 더 오를까요?
결과: «예»
AI 10종 중 6종의 예측이 적중했습니다:
🇺🇸Meta AI🇨🇳Kimi🇨🇳DeepSeek🇺🇸Gemini🇨🇳Qwen🇨🇳Z.ai
확인 출처: finance.yahoo.com
최신 트렌드 →: 테니스 월드컵, 여덟 나라 확정… 알카라스 출전, 시너는 부상으로 결장
