PHP는 같은 사용자의 요청 사이에 정보를 이어 쓰도록 서버에 세션 데이터를 보관해요. 파일 업로드가 얼마나 진행됐는지 기록하는 기능도 이 데이터를 사용하는데, 세션의 저장 형식을 실행 중에 바꾸는 특정 조건에서 공격자가 서버의 코드를 실행할 수 있습니다. PHP가 10월 23일 알린 CVE-2026-115560으로, 8.5.12 등 기존 패치 버전에도 영향을 줘요.

문제는 업로드 진행률 기능이 켜져 있고, session.serialize_handler가 php_binary 또는 php_serialize인 상태에서 session_start()를 호출하기 전에 ini_set()으로 저장 형식을 php로 바꾸는 드문 조합에서 발생할 수 있습니다.

• PHP는 다음 정기 버그 수정 릴리스까지 session.upload_progress.enabled=0으로 업로드 진행률 기능을 끄라고 권고했어요. 이미 껐다면 그 설정을 유지하면 됩니다.
• 당시 안내에 따르면 세션 저장 형식을 실행 중에 바꾸지 않는 앱은 업로드 진행률 기능을 켜 둬도 됩니다.

호주 연방법원이 Apple에 iOS 앱을 웹에서 직접 내려받거나 대체 앱 스토어에서 설치하고, Apple의 인앱 결제 외의 방식으로 결제할 수 있게 하라고 명령했어요. 인앱 결제를 강제하거나 외부 결제를 안내하지 못하게 하는 행위뿐 아니라, 수수료나 추가 결제 단계로 대안 이용을 방해하는 행위도 제한했습니다.

대상은 국가 또는 지역이 Australia로 설정된 Apple Account 보유자예요. 주요 의무는 2027년 3월 1일 멜버른 정오에 시행될 예정입니다.

• Apple이 2027년 2월 1~15일에 증빙을 갖춰 신청하고 법원이 승인하면, 주요 의무의 시행일을 2027년 5월 3일 멜버른 정오까지 연장할 수 있어요.
• 대체 경로로 배포하는 앱도 Apple Developer Program 소속 개발자의 앱이어야 합니다. 자동 보안·개인정보 검사와 함께 Apple 또는 자격을 갖춘 제삼자가 확인하는 공증 절차를 거쳐야 해요.

Mozilla는 Firefox가 HTTPS 인증서를 확인할 때 어떤 인증서 발급 기관을 신뢰할지 관리해요. 그중 eMudhra에서 인증서에 서명할 때 쓰는 비밀 정보인 개인 키 일부가 쉽게 복구될 수 있는 상태였고, Mozilla가 이 사고에 관한 조사 질의를 보냈습니다.

Mozilla는 10월 23일 공개 업데이트에서 아직 그 질의에 답변을 받지 못했다고 밝혔어요. eMudhra는 전날 글로벌 SSL/TLS 인증서 사업에서 철수하겠다고 발표했지만, Mozilla는 Firefox의 신뢰 기관을 관리하는 루트 프로그램과 커뮤니티에 대한 의무를 이행하라고 요구했습니다.

• 10월 23일 업데이트 시점에는 최초 답변 기한인 24시간과, eMudhra가 그 기한이 지난 뒤 추가로 요청한 24시간이 모두 지난 상태였어요.

여러 서비스가 함께 쓰는 소프트웨어에서 취약점을 고쳐도, 각 서비스에 수정본이 적용되기까지는 시간이 걸려요. OpenAI는 10월 21일, 중대 취약점의 확인과 수정부터 실제 배포까지 이어지는 5단계 공조 체계를 제안하고 보안 커뮤니티의 의견을 구했습니다. 공개 전에는 영향을 받는 조직의 대응, 정부 기관과의 공조, 관련 제품의 업데이트를 준비하고, 공개 후에는 패치 배포를 지원하는 절차예요.

소프트웨어의 수정과 릴리스를 맡는 유지관리자가 대응을 주도하고, OpenAI가 자금과 모델 접근, 엔지니어링 지원을 제공하는 구상입니다.

• 공개 전에 누구에게 정보를 공유할지는 유지관리자가 결정해요. 조직이 보호에 어떤 역할을 하는지, 대응에 얼마나 시간이 필요한지, 민감한 정보를 다룰 능력이 있는지를 판단 기준으로 제시했습니다.

테스트에서 여러 입력을 통과해도 아직 시도하지 않은 입력에서 문제가 생길 수 있어요. Anthropic과 Theorem은 Claude를 이용해 오픈소스 라이브러리 123개의 fuzz test 진입점 239개를 정형 검증했습니다. 다양한 입력을 받아 라이브러리 코드를 실행하는 테스트의 시작 부분을 대상으로, 정해진 조건에 맞는 모든 입력에서 비정상 종료가 일어나지 않는다는 수학적 증명을 만든 거예요.

증명을 작성하다 발견한 버그를 고친 뒤, 정해진 실행 환경과 메모리 예산 안에서 64MB 미만의 모든 입력에 대해 이 성질을 증명했어요. Claude가 작성한 증명은 별도의 증명 검사 프로그램이 확인합니다.

• 검증 대상은 Linux의 RISC-V 환경에서 고정된 메모리 예산으로 실행하는 단일 스레드 정적 바이너리예요.
• 결과는 해당 테스트 진입점과 명시한 조건에 한정됩니다. 일반적인 x86·ARM 환경에서도 성립하거나 라이브러리 전체에 버그가 없다는 뜻은 아니에요. 공개 증명은 실행이 끝나지 않는 경우를 배제하지 않으므로 종료도 보장하지 않습니다.

AI 모델을 호출하는 서버와 대화를 보여주는 화면을 연결하는 TanStack AI가 1.0에서 핵심 API를 안정화했어요. 0.x에서 사용 중단을 예고했던 API는 제거했으며, 대체 API는 이미 0.x에 제공돼 있었습니다. 1.0 클라이언트에는 1.0 서버가 필요하므로, 클라이언트와 서버의 stable @tanstack/ai* 패키지는 함께 버전을 올려야 해요.

모델이 도구를 사용하며 작업하는 실행 과정을 관리하는 새 @tanstack/ai-harness와 관련 API는 이번 안정화에 포함되지 않습니다. harness 패키지는 0.x의 실험 단계로 남아 minor 릴리스에서도 API가 바뀔 수 있어요.

• 기존 앱을 이전할 때는 대화 식별자인 threadId를 브라우저와 서버 양쪽에 직접 전달해야 해요. 코드를 자동으로 바꾸는 codemod는 프로젝트의 대화 ID를 알 수 없어 이 값을 추가하지 못합니다.
• 0.x의 대화·실행 기록·파일을 저장하고 있다면 별도 데이터 마이그레이션도 필요해요. 타입 검사를 통과해도 저장된 데이터가 변환되는 것은 아닙니다.

Sentry가 해당 연도의 전체 오픈소스 지원 예산을 75만 달러에서 100만 달러로 늘렸어요. Sentry가 사용하는 패키지의 오류를 고치고 업데이트를 맡는 유지보수자뿐 아니라, 여러 생태계의 핵심 패키지와 오픈소스 재단 등에도 지원금을 배분했습니다.

이미지의 세부 정보를 일부 버려 용량을 줄이는 손실 압축에서는, 파일 크기뿐 아니라 화면에서 보이는 화질도 비슷하게 맞춰 비교해야 해요. Jake Archibald가 10월 15일 공개한 비교에서는 비슷하게 보이는 화질의 사진을 저장했을 때 AVIF가 JPEG XL보다 대체로 작은 파일을 만들었습니다.

원본 정보를 그대로 보존하는 무손실 압축에서는 JPEG XL이 앞섰어요. 또 같은 JPEG XL 포맷이라도 이미지를 저장하는 프로그램에 따라 파일 크기와 눈에 보이는 품질이 달라졌습니다.

• 글에서 비교한 이미지와 저장 프로그램·설정에 따른 결과예요. 일부 사진에서는 JPEG XL이 AVIF와 비슷하거나 더 작은 파일을 만들기도 했습니다.