PHP 8.5.12·8.4.27·8.3.36·8.2.35가 인증 없이 원격 코드를 실행할 수 있는 취약점 두 건을 수정했어요. PHP-FPM, Apache의 mod_php, FrankenPHP 등 웹 요청을 처리하는 PHP 설치 환경이 위험 대상입니다. 특히 mod_php에서는 애플리케이션 코드가 실행되기 전 요청만으로 공격하는 방법이 확인됐어요. 설정 변경만으로 완전히 막을 수는 없어 PHP 팀은 즉시 업데이트를 권고했습니다.

• Linux 배포판과 LTS 공급업체에는 패치가 미리 전달됐어요. 시스템 패키지로 설치했다면 공급업체의 수정 패키지를 확인해야 합니다.

eMudhra 중간 인증서 8개에 연결된 개인 키가 침해돼, 공격자가 위조 HTTPS 인증서로 서버를 사칭할 수 있게 됐어요. 네트워크 연결을 가로챌 수 있는 공격자는 이를 이용해 트래픽을 읽거나 바꿀 수 있습니다. 브라우저의 긴급 차단과 별개로 개발 도구와 애플리케이션이 실제로 사용하는 인증서 저장소도 업데이트해야 해요.

• SDK만 업데이트하면 하위 HTTP 라이브러리·런타임·OS의 인증서 검증 정책은 그대로일 수 있어요. 관련 의존성과 컨테이너 이미지를 갱신하고 필요한 재시작·재배포를 적용해야 합니다. 브라우저에서 검사를 통과해도 다른 애플리케이션까지 보호됐다는 뜻은 아니에요.

10월 21일 배포된 LiteLLM 1.107.0의 PyPI wheel 7개와 공식 컨테이너 이미지에 자격 증명 탈취·원격 코드 실행 악성코드가 포함됐어요. 컨테이너는 v1.107.0뿐 아니라 당시 latest·main-latest·main-stable 태그도 영향을 받았습니다. 해당 배포물은 회수됐고 변조된 태그는 제거되거나 안전한 이미지로 교체됐지만, 이미 실행한 환경은 침해된 것으로 보고 조사해야 해요.

• 악성코드는 LiteLLM을 import하지 않아도 Python 시작 시 실행돼요. 영향 환경에서 pip를 실행하는 것도 악성코드를 다시 작동시킬 수 있어, 공식 복구 지침에 따라 처리하고 깨끗한 이미지·가상환경에서 1.106.2로 재구축하는 편을 권고합니다.
• 외부 통신이 가능한 호스트에 설치했다면 정보가 유출된 것으로 가정해야 해요. 그 호스트가 접근할 수 있던 모델 제공업체 API 키, 클라우드 자격 증명, DB 비밀번호 등을 교체해야 합니다. 비공개 enterprise 레지스트리 배포물은 영향을 받지 않았어요.

iOS·iPadOS·macOS·visionOS 27의 Safari와 WebKit이 이메일 주소를 추적 ID로 바꾸는 제3자 서버와의 연결을 차단해요. 로그인이나 뉴스레터 신청 폼에서 이메일을 몰래 수집해 사이트와 기기를 넘나들며 사용자를 식별하던 방식입니다. 도메인 단위로 막으므로 요청 경로나 형식을 바꿔도 차단을 피할 수 없어요.

CrUX가 새로고침 없이 내용과 URL을 바꾸는 SPA 화면 전환을 별도로 측정하는 실험 지표를 공개했어요. 처음 진입한 URL에 세션 전체의 상호작용과 레이아웃 이동을 몰아 기록하던 방식에서, 이동한 URL별로 LCP·INP·CLS를 나눠 볼 수 있게 됐습니다. 화면 전환이 많은 SPA는 코드가 그대로여도 집계 방식 때문에 점수가 좋아질 수 있어요.

• 10월 공개분부터 API·BigQuery·CrUX Vis에서 볼 수 있고, 기존 stable 점수와 Search Console에는 아직 반영되지 않아요.

10월 21일부터 일부 enterprise 고객 대상 private preview로 로컬 Codex CLI·Desktop을 Google Cloud의 Gemini platform에 연결해 OpenAI 모델로 추론할 수 있어요. 초대받은 고객이 승인된 개발·내부 사용 사례를 평가하는 단계입니다.

향후 Model Garden의 OpenAI 모델을 Google Cloud Marketplace에서 구매하고, 구매 비용을 기존 GCP 약정에서 차감할 수 있도록 제공할 예정이에요.

• OpenAI 모델의 Google Antigravity·Gemini for business 연동은 추후 제공 예정이에요. OpenAI는 Google Cloud에서의 일반 공개를 앞으로 몇 주 안에 진행할 계획이라고 밝혔습니다.

Chokidar 6은 파일 변경 알림을 받으면 lstat·stat·readdir로 실제 디스크 상태를 확인한 뒤 이벤트를 내보내요. 파일을 연달아 수정한 뒤 불필요한 이벤트가 남던 문제를 고쳤고, macOS에서 많은 파일을 감시할 때 발생하던 EBADF 오류도 수정했습니다. Node.js 22.22 이상이 필요해요.

• polling을 쓸 때 atomic 기본값이 false로 바뀌었어요. 명시적으로 설정한 값은 유지합니다.

React Router 8.5가 viewTransition prop·옵션과 useViewTransitionState 등을 deprecated로 바꿨어요. 대체 API는 React·React DOM 19.3 이상의 <ViewTransition>이며, 유지되는 layout에서 <Outlet>을 감싸면 됩니다. 기존 API는 React Router 8에서 계속 동작하고 9에서 제거될 예정이에요.

• 이전할 때 viewTransition 설정은 제거하고, NavLink의 isTransitioning과 .transitioning 기반 스타일은 React의 View Transition 클래스로 옮겨야 해요. 라우터에 useTransitions={false}를 설정하면 새 방식이 동작하지 않습니다.

import { ViewTransition } from "react";
import { Outlet } from "react-router";
 
export default function Layout() {
  return (
    <ViewTransition>
      <Outlet />
    </ViewTransition>
  );
}