PHP가 10월 23일, 8.5.12 등 기존 패치 버전에도 영향을 주는 CVE-2026-115560을 알렸어요. 세션 업로드 진행률 기능이 켜져 있고, 설정에서 session.serialize_handler를 php_binary 또는 php_serialize로 지정한 뒤 session_start() 호출 전에 ini_set()으로 php로 바꾸는 드문 조합에서만 RCE가 발생할 수 있습니다.

PHP는 다음 정기 버그 수정 릴리스까지 session.upload_progress.enabled=0으로 기능을 끄라고 권고했어요.

• 이전 권고에 따라 이미 기능을 껐다면 설정을 유지하면 되고 추가 조치는 없어요. serialize handler를 런타임에 바꾸지 않는 앱은 기능을 켜 둬도 됩니다.
• Cloudflare WAF는 기본 업로드 진행률 필드 이름을 쓰는 사이트에서 알려진 공격 시도를 차단합니다. session.upload_progress.name을 바꾼 사이트는 해당 규칙으로 보호되지 않아요.

호주 연방법원이 Apple에 2027년 3월 1일 멜버른 정오부터 호주 Apple Account 사용자를 대상으로 iOS 앱의 웹 직접 다운로드·대체 앱 스토어·대체 결제를 허용하라고 명령했어요. IAP 강제와 외부 결제 안내 금지뿐 아니라, 수수료와 추가 결제 단계로 대안 이용을 방해하는 행위도 제한하도록 했습니다.

• 대체 배포는 Apple Developer Program 소속 개발자의 앱이 대상이며, 자동 보안·개인정보 검사와 Apple 또는 적격 제삼자의 notarisation을 거쳐야 해요.
• Apple이 2027년 2월 1~15일에 증빙을 갖춰 신청하고 법원이 승인하면, 주요 의무의 시행일은 5월 3일 멜버른 정오까지 연장될 수 있어요.

Mozilla는 10월 23일, eMudhra가 추가 답변 기한까지 넘기고도 중간 인증서 개인 키 사고에 관한 조사 질의에 답하지 않았다고 밝혔어요. 최초 답변 기한은 24시간이었고, eMudhra가 기한이 지난 뒤 추가로 요청한 24시간도 지났다는 겁니다. eMudhra는 전날 글로벌 SSL/TLS 인증서 사업 철수를 발표했지만, Mozilla는 루트 프로그램과 커뮤니티에 대한 의무를 이행하라고 요구했습니다.

OpenAI가 10월 21일 Patch the Planet을 통해 널리 쓰이는 소프트웨어의 중대 취약점에 대응하는 5단계 공조 체계를 제안했어요. 취약점 확인·수정, 영향받는 조직의 사전 대응, 정부 기관과의 공조, 관련 제품의 업데이트 준비, 패치 공개 후 배포 지원으로 이어지는 절차입니다. 유지관리자가 대응을 주도하고, OpenAI는 자금과 모델 접근, 엔지니어링 지원을 제공합니다.

• 공개 전에 정보를 공유할 대상은 유지관리자가 결정합니다. 조직의 보호 역할, 대응에 필요한 시간, 민감한 정보를 다룰 능력을 기준으로 삼자는 제안이에요.

Anthropic과 Theorem이 Claude로 오픈소스 라이브러리 123개의 fuzz test 진입점 239개를 정형 검증했어요. 증명을 쓰다가 발견한 버그를 고친 뒤, 정해진 실행 환경과 메모리 예산 안에서 64MB 미만의 모든 입력에 대해 해당 진입점에서 crash가 발생하지 않음을 증명했습니다. Claude가 작성한 증명은 별도의 Rocq proof checker가 검사해요.

• 고정 메모리 예산으로 Linux의 RISC-V 환경에서 실행하는 single-threaded static binary가 대상입니다. 일반적인 x86·ARM 환경이나 라이브러리 전체에 버그가 없음을 증명한 결과는 아니에요.
• 공개 증명은 실행이 끝나지 않는 경우를 배제하지 않으며, 종료를 보장하지 않습니다.

TanStack AI 1.0이 core API를 stable로 전환하고, 0.x에서 deprecated로 표시했던 API를 제거했어요. **클라이언트와 서버의 stable @tanstack/ai* 패키지를 함께 1.0으로 올려야 합니다.** 새 @tanstack/ai-harness와 관련 API는 experimental 단계로, 0.x를 유지하며 minor 릴리스에서도 바뀔 수 있어요.

• threadId를 브라우저와 서버 양쪽에 직접 전달해야 해요. codemod는 프로젝트의 대화 ID를 알 수 없어 이 값을 추가하지 못합니다.
• 기존 대화·실행 기록·파일을 저장하고 있다면 별도 데이터 마이그레이션이 필요합니다. 타입 검사를 통과해도 저장 데이터가 변환되지는 않아요.

Sentry가 연간 오픈소스 지원 예산을 75만 달러에서 100만 달러로 늘렸어요. 사용 중인 의존성의 유지보수자에게 배분하도록 thanks.dev에 49만 5천 달러를, 여러 생태계의 핵심 패키지를 지원하도록 ecosyste.ms Funds에 10만 달러를 보냈습니다. Biome·pnpm·MSW·Knip도 지원 대상에 포함됐어요.

Jake Archibald가 10월 15일 공개한 비교에서, 비슷한 지각적 화질의 손실 압축 사진은 AVIF가 JPEG XL보다 대체로 작았어요. 스크린샷·일러스트·투명 이미지에서도 AVIF가 유리했고, lossless 압축은 JPEG XL이 앞섰습니다. JPEG XL 인코더인 libjxl과 jixel 사이에도 크기와 눈에 보이는 품질 차이가 있어, 포맷만으로 결과를 단정하기는 어려워요.

• JPEG XL의 progressive preview는 Chrome·Firefox에서 보이지만 Safari에서는 최종 이미지만 표시됩니다. AVIF의 progressive rendering은 현재 Chrome만 지원해요.