← 아티클 목록
업데이트phplaravel업데이트

PHP 7.0.22 업데이트 — 한국 Laravel 개발자 영향 분석

작성: 라라벨 코리아 (초안)

발행: 2026년 8월 6일

## 요약

요약

PHP 7.0.22는 2017년 8월 3일 릴리스된 PHP 7.0 브랜치의 보안 및 버그 수정 패치입니다. unserialize()의 Use After Free 취약점(#73900)을 포함한 다수의 크래시 및 메모리 관련 버그가 수정되었으며, Core, Opcache, PDO, SPL, Wddx 등 광범위한 영역에 걸쳐 안정성이 개선되었습니다. PHP 7.0 브랜치를 아직 사용 중인 레거시 환경이라면 이 릴리스로의 업그레이드를 즉시 검토해야 합니다.

핵심 내용

보안 관련 수정

  • Bug #73900 — unserialize()의 Use After Free (SplFixedArray)
    • SplFixedArray 객체가 포함된 직렬화 데이터를 unserialize()로 역직렬화할 때 메모리 해제 후 사용(Use After Free) 버그가 발생하던 문제를 수정했습니다.
    • 공격자가 조작된 직렬화 문자열을 애플리케이션에 주입할 수 있는 경우 악용될 가능성이 있습니다. 사용자 입력을 unserialize()로 처리하는 코드가 있다면 즉각적인 패치가 필요합니다.

참고: 이전 릴리스인 PHP 7.0.21에는 unserialize() 관련 Heap Use-After-Free(#74101, #74614), INI 파싱 스택 버퍼 오버플로(#74603), mbstring의 CVE-2017-9224 외 5개 CVE 수정 등 더 중요한 보안 패치들이 포함되어 있습니다. 7.0.20 이하를 사용 중이라면 7.0.21과 7.0.22의 모든 수정 사항을 함께 검토하시기 바랍니다.

Core 버그 수정

버그 번호내용영향
#74832이미 등록된 함수 이름을 가진 PHP 확장 로딩 시 크래시커스텀 확장 사용 환경
#74780쿼리 문자열에 콜론(:) 포함 시 parse_url() 오동작URL 파싱 로직 전반
#74761일부 시스템에서 단항 연산자 오류특정 OS/컴파일러 환경
#73900unserialize() SplFixedArray Use After Free보안 취약점
#74913잘못된 poll.h include 수정빌드 안정성
#74906잘못된 errno.h include 수정빌드 안정성

주요 컴포넌트별 수정 사항

Opcache

  • Bug #74840 — finally 블록 내 GENERATOR_RETURN의 인자를 Opcache가 덮어쓰는 문제 수정
    • yield와 finally를 함께 사용하는 제너레이터 코드에서 예상치 못한 동작이 발생할 수 있었습니다. Opcache가 활성화된 프로덕션 환경에서 특히 주의가 필요합니다.

PDO

  • Bug #69356 — PDOStatement::debugDumpParams()가 긴 쿼리를 잘라내는 문제 수정
    • 디버깅 중 쿼리가 완전히 출력되지 않아 문제 진단이 어려웠던 이슈가 해결되었습니다.

SPL

  • Bug #73471 — AppendIterator 사용 시 PHP가 멈추는(freeze) 문제 수정
    • 여러 이터레이터를 조합하여 순회하는 코드에서 무한 루프 유사 현상이 발생하던 버그입니다.

Wddx

  • Bug #73173 — wddx_unserialize() 시 대규모 메모리 누수 수정
    • WDDX 데이터를 반복적으로 역직렬화하는 환경에서 메모리가 급격히 증가하는 문제였습니다.

OCI8

  • Bug #74625 — oci_bind_array_by_name()에서 정수 오버플로 수정
    • Oracle DB 바인딩 처리 시 예상치 못한 데이터 손상 또는 크래시가 발생할 수 있었습니다.

SQLite3

  • Bug #74883 — 잘못된 플래그 전달 시 SQLite3::__construct()가 "out of memory" 예외를 발생시키던 문제 수정

zlib

  • Bug #73944 — inflate_init()의 dictionary 옵션이 동작하지 않던 문제 수정

Date

  • Bug #74852 — property_exists()가 존재하지 않는 DateInterval 속성에 대해 true를 반환하는 문제 수정

한국 Laravel 개발자에게 미치는 영향

⚠️ 중요: PHP 7.0 EOL 현황

PHP 7.0은 **2019년 1월 10일 공식 지원 종료(EOL)**되었습니다. PHP 7.0.22는 7.0 브랜치의 마지막 릴리스 중 하나로, 현재 이 버전을 프로덕션에서 사용하는 것은 보안 위험에 노출된 상태입니다. 가능한 빨리 PHP 8.1 이상으로 마이그레이션하는 것을 강력히 권장합니다.

Laravel 버전 호환성

PHP 7.0.22 시점(2017년 8월)을 기준으로:

Laravel 버전PHP 7.0 지원 여부
Laravel 5.4✅ 지원
Laravel 5.5✅ 지원
Laravel 5.6 이상⚠️ PHP 7.1+ 권장

현재 Laravel 10/11 환경에서는 PHP 7.0이 지원되지 않습니다. 레거시 시스템 유지보수 목적으로만 참고하시기 바랍니다.

로컬 개발 환경별 영향

Laravel Valet (macOS)

  • Valet은 Homebrew의 PHP를 사용하므로, PHP 7.0은 shivammathur/php 탭 등 서드파티 포뮬러를 통해서만 설치 가능합니다.
  • valet use php@7.0 형태로 전환 가능하나, 보안 지원이 없으므로 프로덕션 미러 환경으로 사용하지 말 것을 권장합니다.

Laravel Sail (Docker)

  • Sail의 공식 Docker 이미지는 PHP 7.0을 지원하지 않습니다.
  • 레거시 프로젝트 유지보수를 위해서는 별도의 Dockerfile을 작성하거나 php:7.0-fpm 공식 이미지를 직접 활용해야 합니다.

일반 Docker 환경

# 레거시 유지보수 전용 — 프로덕션 신규 구성 금지 FROM php:7.0-fpm
  • Docker Hub의 php:7.0-fpm 이미지 자체도 보안 업데이트가 중단된 상태입니다.

unserialize() 취약점 관련 Laravel 코드 점검

unserialize()를 직접 호출하는 코드가 있다면 즉시 점검하세요:

// ❌ 위험 — 사용자 입력을 unserialize()로 처리 $data = unserialize($request->input('data')); // ✅ 권장 — JSON 또는 안전한 직렬화 사용 $data = json_decode($request->input('data'), true);

Laravel의 세션, 캐시, 큐 시스템은 내부적으로 직렬화를 사용하지만, 신뢰된 스토어(Redis, 파일 등)를 통해 처리되므로 직접적인 위협도는 낮습니다. 그러나 커스텀 unserialize() 호출 지점은 반드시 감사해야 합니다.

실무 체크리스트

즉시 확인 (레거시 PHP 7.0 환경)

  • php -v 명령으로 현재 운영 중인 PHP 버전 확인
  • PHP 7.0.x 사용 중이라면 7.0.22 미만 여부 확인
  • unserialize()를 직접 호출하는 코드 위치 전수 조사 (grep -r "unserialize" ./app ./bootstrap ./config)
  • SplFixedArray를 사용하는 코드 여부 확인
  • AppendIterator를 사용하는 코드의 동작 검증

로컬/스테이징 환경

  • PHP 7.0.22로 패키지 업데이트 후 기존 테스트 스위트 (php artisan test) 실행
  • Opcache가 활성화된 경우 finally/yield 제너레이터 코드 동작 확인
  • parse_url()로 콜론이 포함된 쿼리스트링 파싱하는 로직 테스트
  • PDO 디버깅 코드(debugDumpParams) 사용 시 긴 쿼리 출력 검증

프로덕션 환경

  • 신규 프로젝트에 PHP 7.0 사용 금지 정책 적용
  • 기존 PHP 7.0 서버의 마이그레이션 일정 수립 (PHP 8.1 또는 8.2 이상 권장)
  • OS 패키지 관리자(apt, yum)를 통한 PHP 업데이트 시 사용 가능한 최신 7.0.x 버전 확인
  • PHP 업데이트 후 OPcache 캐시 강제 초기화: php artisan opcache:clear 또는 PHP-FPM 재시작
  • 배포 파이프라인(CI/CD)에서 PHP 버전 핀(pin) 설정 확인

장기 마이그레이션 계획

  • Laravel Upgrade Guide를 참고하여 현재 Laravel 버전에서 최신 버전으로의 마이그레이션 경로 검토
  • PHP 8.x 비호환 코드 탐지: composer require --dev rector/rector 및 Rector 실행
  • PHP 8.x의 match 표현식, Nullsafe 연산자 등 새 문법으로의 리팩토링 계획 수립
  • wddx_unserialize() 사용 코드 존재 시 대체 구현 검토 (WDDX 확장은 PHP 7.4에서 deprecated, PHP 8.0에서 제거됨)

편집자 주: 이 문서는 PHP 7.0.22 릴리스 데이터를 기반으로 작성된 초안입니다. PHP 7.0은 현재 EOL 상태이므로, 본 문서의 주된 가치는 레거시 시스템 유지보수 담당자 및 마이그레이션을 계획 중인 팀을 위한 참고 자료로 활용하는 데 있습니다. 보안 취약점 정보는 게시 시점의 공개 정보를 기반으로 하며, 추가적인 CVE 지정 여부는 별도 확인이 필요합니다.