리브의 아침 브리핑

01PHP, 원격 코드 실행이 가능한 치명적 취약점 2건 수정. 즉시 업데이트 권고

인증 없이 원격 코드 실행으로 이어질 수 있는 취약점 2건을 고친 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 공개했습니다. PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed처럼 웹 요청을 처리하는 모든 설치 환경이 대상이고, 완전한 해결책은 업데이트뿐입니다. 사전 공지에서는 두 취약점 모두 CVSS v4.0 9.2로 평가했습니다.

• CVE-2026-109618은 메모리 부족 처리가 초기화가 덜 끝난 요청 데이터를 남기는 문제이고, CVE-2026-109619는 해제된 메모리를 가리키는 전역 상태를 같은 워커의 다음 요청이 그대로 쓰는 문제입니다.
• 당장 올릴 수 없다면 memory_limit=-1, post_max_size 축소, session.upload_progress.enabled=0, PHP 8.5의 fatal_error_backtraces=0 같은 완화책이 있습니다. 다만 이 조치들은 일부 공격 경로만 막습니다. 8.1 이하는 배포판 백포트를 확인하거나 보안팀이 낸 최소 백포트를 쓰셔야 하고, 8.2는 2026년 12월 31일에 지원이 끝납니다.
• Hacker News 댓글에서는 정보가 엠바고 전에 새어 나간 경위를 두고 불만이 나왔습니다. 두 달 동안 일부에게만 수정본을 미리 주고 나머지는 방치했다는 비판도 있었습니다.

php.net · 관심사 상 · 추천 상위 14.1%

02CSS의 미래 - Interop 2027에서 기대하는 10가지 기능

Interop 2027 투표에서 제가 표를 던진 CSS 후보 10가지를 예제와 함께 소개합니다. @function으로 계산을 재사용하는 것부터 corner-shape, border-shape, 앵커 위치 컨테이너 쿼리, height: auto 애니메이션까지 들어 있습니다. 최종 선정 목록은 아니고, Mozilla가 마련한 투표에 직접 참여하실 수 있습니다.

• 2026년 10월 기준으로 inherit()를 뺀 9개는 Chrome 155와 Edge 154에서 이미 동작하지만, Firefox 157과 Safari 27에서는 아직 지원하지 않습니다.
• corner-shape와 border-shape는 clip-path와 달리 실제 테두리 상자를 바꿉니다. 그래서 테두리, 외곽선, 그림자도 바뀐 모양을 따라가고, 점진적 향상으로 지금 도입해도 괜찮습니다.
• AI 에이전트가 최신 CSS를 알아서 골라 주리라 기대하지 말고, 개발자가 기능을 알고 직접 지시해야 한다는 것이 제 결론입니다.

joshwcomeau.com · 관심사 중 · 추천 상위 22.5%

03한국의 신규 AI 파생 모델 절반 가까이가 중국 Qwen 기반임

2026년 1-8월에 한국 계정들이 Hugging Face에 새로 올린 언어모델 산출물 1,845건 가운데 49.3%가 중국 모델 기반이었습니다. 그중 대부분을 Qwen 하나가 차지합니다(864건, 46.8%). 중국 기반 비중은 2023년 1.2%에서 해마다 올라 2026년에는 절반에 가까워졌습니다.

• 기업 설문에서 DeepSeek를 안다는 응답은 84.3%였지만, Qwen은 45.1%가 처음 들어 봤다고 답했습니다. 대중이 아는 중국 AI와 실제 파생 모델 개발에 쓰이는 중국 AI가 서로 다릅니다.
• 중국 AI를 쓰느냐고 직접 물으면 쓴다는 응답이 없었습니다. 그런데 서비스별로 물으면 일부가 쓴다고 답했고, 쓰지 않는 이유로는 성능보다 데이터 유출(80.2%)을 더 많이 꼽았습니다.
• Qwen이 선택받는 이유는 가격만이 아닙니다. 소형부터 초대형까지 고를 수 있는 크기, 다국어 처리, 풍부한 참고 자료가 함께 작용합니다. 그래서 국내 개방형 모델도 상업 이용 조건과 파인튜닝 생태계를 같이 갖춰야 합니다.

rbnkorea.org · 관심사 상 · 추천 상위 25.9%

04PHP2Shell - AI로 PHP의 오래된 취약점을 실제 공격으로 구현

저희 Wiz Research는 AI를 써서 PHP에 10년 넘게 남아 있던 결함들을 엮어 실제 원격 공격으로 만들었습니다. 시험 당시 최신이던 wordpress, drupal, joomla 컨테이너에서 인증 없이 코드를 실행했습니다. 특정 CMS가 아니라 PHP 엔진의 문제라서, Hello World 애플리케이션이라도 영향을 받습니다.

• 공통 원인은 메모리 부족 같은 치명적 오류로 요청 힙이 해제된 뒤에도 내부 상태가 그 메모리를 계속 가리키는 데 있습니다. 업로드 진행률 역직렬화기, PS(id) 세션 ID, 치명적 오류 백트레이스, OPcache 맵 포인터의 네 곳에서 이 문제를 확인했고, 코드 실행 없이 PHPSESSID 쿠키로 워커 메모리를 읽어 내는 유출도 실증했습니다.
• LLM과 테스트·디버깅 도구로 실패 원인을 분석하고 공격 코드를 반복해서 조정했습니다. 연구원 한 명이 일주일 걸린 이 작업은 예전이라면 최고 수준의 팀에게도 몇 달이 걸렸으리라고 추정합니다.
• Hacker News에서는 OpenAI, Wiz, Calif 가운데 누가 먼저 발견했는지를 놓고 해석이 엇갈렸습니다. PHP Foundation의 설명이 나온 뒤에야 경위가 정리됐다는 반응입니다.

wiz.io · 관심사 최상 · 추천 상위 33.1%

05온갖 제약 속에서도 빛나는 타이포그래피

기차 전광판, 건물 안내판, 오래된 키보드처럼 제약이 많은 곳에서도 타이포그래피의 세심한 디테일이 보입니다. 움직이는 전광판 글자가 기울어지는 것은 이탤릭이 아니라 위에서 아래로 한 줄씩 갱신하는 방식 때문입니다. 사진의 롤링 셔터와 같은 현상입니다.

• 5×7 픽셀 디스플레이에 문자 네 개를 나란히 붙여 경기장 아이콘을 만들거나, 플라스틱에 새긴 Gorton 글자를 줄 간격 없이 세로로 맞물리게 한 사례가 있습니다. 키보드에는 RE-START 줄 나눔과 LEN'TH 같은 옛식 축약도 남아 있습니다.
• 좋은 만듦새에 늘 추가 작업이 드는 것은 아닙니다. 같은 제약 안에서도 갈림길을 잘 고르면 노력을 더 들이지 않고 더 나은 결과가 나옵니다.
• Hacker News 댓글은 반론을 붙였습니다. 오른쪽으로 기운 글자는 단순한 관습이 아니라 깃펜과 오른손의 움직임에서 왔다는 것이고, Gorton 합자는 공을 들였다기보다 줄 간격 설정을 소홀히 한 결과일 것이라는 추측도 있었습니다.

unsung.aresluna.org · 관심사 중 · 추천 상위 43.5%

06OpenAI 모델과 Codex, Google Cloud에 도입

OpenAI의 최신 모델과 Codex를 이제 Google Cloud에서 쓰실 수 있습니다. GPT-6 Astra, GPT-6.1 Sol, GPT-6 Luna를 일부 기업 고객에게 비공개 프리뷰로 먼저 제공하고, 정식 출시는 몇 주 안에 할 예정입니다. 로컬 Codex CLI와 데스크톱 앱도 Google Cloud 추론에 연결할 수 있습니다.

• 모델은 Model Garden에서 고르고 Marketplace로 구매합니다. 기존 Google Cloud 지출 약정에 포함되고 청구서도 하나로 합쳐집니다.
• 전용 Google Cloud 인프라에서 실행하며, 프롬프트와 출력은 지정된 데이터 경계 안에 머물고 학습에는 쓰지 않습니다. 데이터 무보관(ZDR)과 Confidential Compute는 나중에 제공합니다. Microsoft는 계속 주요 클라우드 파트너로 남습니다.
• Hacker News 댓글에서는 OpenAI가 Google에 모델을 맡긴 것 자체를 의아해했습니다. Microsoft 단서는 계약상 써 넣은 문장일 것이라는 해석도 나왔습니다.

openai.com · 관심사 중 · 추천 상위 75.8%

07eMudhra, 전 세계 SSL/TLS 인증서 사업에서 철수

eMudhra to exit global SSL/TLS certificate business

eMudhra는 전 세계 SSL/TLS 인증서 사업에서 철수하기로 했습니다. 앞으로는 SSL/TLS를 뺀 나머지 신뢰 서비스에 집중하겠다고 보도자료에서 밝혔습니다. 원문 본문은 들어오지 않아 이 내용은 제목과 댓글에 인용된 문구를 바탕으로 정리했습니다.

• 며칠 전 중간 인증서 8장의 개인키가 256 미만의 정수였다는 사실이 드러난 뒤에 나온 발표입니다.
• 댓글 반응은 한쪽으로 쏠렸습니다. '살릴 평판이 남아 있기는 한가, 누가 이 회사를 믿겠나'라는 반응과, 쫓겨나기 전에 먼저 그만둔다는 뜻의 'You can't fire me, I quit'이 대표적입니다.

emudhra.com · 관심사 최상 · 프런트 상위 1.3% · 화제

08DNS 리졸버 Quad9, 프랑스에서 철수

Quad9 (DNS Resolver) to Exit France

공개 DNS 리졸버 Quad9가 프랑스에서 서비스를 접습니다. 블로그 제목은 'Au revoir, France'입니다. 본문은 들어오지 않았고, 아래 사정은 댓글에 인용된 문장에서 가져왔습니다.

• 한 댓글이 인용한 대목에 따르면, Sony Music이 차단된 콘텐츠에 VPN으로 우회 접속한 뒤 차단이 지켜지지 않았다고 주장했고, 법원이 이를 받아들여 Quad9에 법정 모욕으로 벌금을 매겼습니다.
• '범죄자 번호가 실렸다고 전화번호부 회사를 처벌하는 격'이라는 반응이 상위에 올랐습니다. 하루 단위로 매기는 벌금 규모를 엔지니어 연봉과 견주는 댓글도 있었습니다.

quad9.net · 관심사 중 · 프런트 상위 1.1%

09OpenShell: 자율 AI 에이전트 무리를 위한 NVIDIA의 격리 런타임

OpenShell – A safe, private runtime for fleets of autonomous AI agents

OpenShell은 자율 AI 에이전트 여럿을 안전하고 사적으로 돌리기 위한 NVIDIA의 런타임입니다. 저장소 본문은 들어오지 않아 여기서는 제목과 댓글 반응만 정리했습니다.

• GTC Europe 데모 상당수가 이것을 썼다는 댓글이 있었고, 경쟁 프로젝트가 생기는 가운데 NVIDIA가 지원을 서두르는 것 같아 반갑다는 반응도 나왔습니다.
• 익명 텔레메트리가 기본으로 켜져 있다는 점을 짚은 댓글도 있었습니다. 게이트웨이에서 OPENSHELL_TELEMETRY_ENABLED=false로, Helm 설치에서는 server.telemetryEnabled=false로 끕니다.

github.com · 관심사 상 · 프런트 상위 19.5%

10AI 모델들은 인간에 대해 왜 하나같이 같은 '논쟁적' 견해를 내놓나

Every AI model has the same "controversial" take on humans

여러 AI 모델에게 인간에 대한 논쟁적인 견해를 물었더니 답이 거의 같았다는 비교 글입니다. 본문은 들어오지 않아 그 견해가 정확히 무엇인지는 여기서 단정하지 않습니다.

• 댓글 반응은 냉소적이었습니다. 전형적인 JRPG 최종 보스와 같은 생각이라는 농담이 올라왔고, 'LLM에게 의견을 물었더니' 식의 글에서 대체 무엇을 결론 내야 하느냐는 반문도 있었습니다.
• '다들 내 의견을 학습했나'라는 댓글처럼, 같은 답이 나온 이유를 공통 학습 데이터에서 찾는 반응이 많았습니다.

modelcompare.ai · 관심사 상 · 프런트 상위 29.4%