PHP, 업데이트 뒤 업로드 진행률 추가 점검 권고

사진을 올릴 때 보이는 진행 막대를 생각해 봅시다. 파일은 서버로 이동하고, PHP의 진행률 추적은 그동안의 전송 상태를 세션 자료에 기록합니다. 그 기능을 사용하는 앱은 기록을 읽어 진행 상황을 표시할 수 있습니다.기능 설명

세션은 여러 요청에 걸쳐 이어 쓸 자료를 서버에 보관하는 방식입니다. 예를 들어 앱이 진행률을 다시 물어볼 때, 서버가 앞서 기록한 상태를 찾는 데 쓸 수 있습니다. 자료를 저장하고 다시 읽을 형식은 session.serialize_handler가 정합니다.세션 설정

공지에 적힌 조합은 시작 설정의 형식이 php_binary 또는 php_serialize이고, 앱이 실행 도중 ini_set()으로 이를 php로 바꾼 뒤 session_start()를 호출하며, 진행률 추적도 켜져 있는 경우입니다.

ini_set()은 실행 중 일부 설정을 바꾸는 함수이고, session_start()는 새 세션을 시작하거나 기존 자료를 읽어 이어 쓰는 함수입니다. 따라서 관리자 화면의 설정값 하나뿐 아니라, 세션을 읽기 전 앱이 어떤 순서로 움직이는지도 봐야 합니다.설정 변경 함수 · 세션 시작 함수

다음은 실제 진단이 아닌 가상의 ‘달 호스팅’ 사례입니다. 세 사이트 모두 PHP 8.4.27이지만 설정과 코드가 달라, 이번 안내에 비춰 볼 결과도 달라집니다.

운영 담당자에게는 “이 앱의 웹 PHP에서 session.upload_progress.enabled의 유효값과 시작 시 세션 형식은 무엇인가요? 앱이 세션 시작 전에 형식을 바꾸나요? 이번 권고와 후속 수정 계획은 어떻게 되나요?”라고 물을 수 있습니다.

이 항목은 앱 본문의 ini_set() 한 줄로 끄는 설정이 아닙니다. PHP 문서는 INI_PERDIR 항목으로 분류하며, 실제 적용 위치는 제공사와 살펴야 합니다. 이전 보안 공지의 적용 지침은 요청을 해석하기 전에 적용되는 php.ini·FPM 풀·서버 설정과 모든 작업 프로세스의 재시작을 요구하고, ini_set()이나 FPM의 .user.ini에 의존하지 말라고 명시합니다.설정 가능 위치 · PHP 적용 지침

변경 뒤에는 사진 업로드, 진행 표시, 로그인·세션 기능을 각각 시험합니다. PHP 버전 변경이 필요하면 백업과 테마·플러그인 호환성도 먼저 살핍니다.WordPress 운영 안내

서버 환경을 제공·관리하는 호스팅 업체 Cloudways는 기존 PHP 사건을 10월 23일 21:38:45 JST에 resolved로 바꿨습니다. 종료 문구에는 새 CVE나 개별 앱 설정의 점검 결과가 없습니다.Cloudways 공지

앞서 취재한 앱의 웹 PHP 8.4.27 관측은 10월 22일 14:03 JST의 기록입니다. 이번 편집에서는 해당 앱의 설정·코드를 새로 조회하거나 바꾸지 않았으므로, 새 조건의 해당 여부는 미확정입니다.