업데이트phplaravel업데이트

PHP 7.1.29 업데이트 — 한국 Laravel 개발자 영향 분석

작성: 라라벨 코리아 (초안)

발행: 2026년 8월 6일

## 요약

요약

PHP 7.1.29는 2019년 5월 2일에 릴리스된 보안 패치로, EXIF 처리 중 발생하는 힙 버퍼 오버플로우(CVE-2019-11036)와 메일 함수의 잠재적 힙 손상 버그를 수정합니다. PHP 7.1 브랜치는 이미 공식 지원이 종료된 상태이므로, 이 릴리스를 사용 중인 팀은 즉각적인 업그레이드 또는 PHP 7.4 이상으로의 마이그레이션 계획 수립이 시급합니다. 이미지 업로드나 첨부 파일 처리 기능을 제공하는 Laravel 애플리케이션은 특히 취약점 노출 위험이 높습니다.

핵심 내용

🔴 보안 취약점 (즉각 조치 필요)

CVE-2019-11036 — EXIF 힙 버퍼 오버플로우 (PHP 7.1.29)

영향 범위: exif_process_IFD_TAG() 내부의 _estrndup 호출에서 힙 버퍼 오버플로우 발생
공격 시나리오: 공격자가 조작된 EXIF 데이터를 포함한 이미지 파일을 업로드하면, 서버 측에서 해당 이미지를 처리할 때 메모리 손상이 발생할 수 있음
Laravel 연관성: Intervention/Image, exif_read_data(), getimagesize() 등을 사용하는 파일 업로드 처리 로직에서 직접적 영향

메일 힙 손상 — `TSendMail()` (PHP 7.1.29)

영향 범위: mail() 함수 내부의 TSendMail()에서 잠재적 힙 손상 가능
Laravel 연관성: Laravel의 Mail 파사드가 내부적으로 PHP mail() 드라이버를 사용하는 경우(MAIL_MAILER=mail) 해당됨. Mailgun, SES, SMTP 드라이버를 사용하는 경우 직접적인 영향은 낮지만 동일한 PHP 바이너리를 사용하는 이상 시스템 노출은 존재

🟡 이전 버전에서 누적된 주요 보안 수정 사항

PHP 7.1.29 이전 버전에서도 다수의 보안 취약점이 수정되었습니다. 만약 7.1.28 이하를 사용 중이라면 아래 취약점에도 노출된 상태입니다.

버전	CVE / 버그	영향 영역
7.1.28	CVE-2019-11034	EXIF 힙 버퍼 오버플로우
7.1.28	CVE-2019-11035	EXIF 힙 버퍼 오버플로우
7.1.26	#77270	GD `imagecolormatch` 힙 오버플로우
7.1.26	#77370~77418	Mbstring 다중 힙 버퍼 오버플로우
7.1.25	#77153	IMAP 임의 셸 명령 실행
7.1.20	#73342	PHP-FPM stdin 비차단 취약점

특히 IMAP 임의 셸 명령 실행 취약점(#77153) 은 imap_open() 호출 시 mailbox 파라미터를 통해 서버에서 임의 명령을 실행할 수 있는 심각한 취약점입니다.

PHP 7.1 지원 종료(EOL) 현황

PHP 7.1의 공식 보안 지원은 2019년 12월 1일로 종료되었습니다.

PHP 7.1.29가 사실상 마지막 보안 릴리스에 해당하며, 이후 발견되는 취약점은 공식 패치가 제공되지 않습니다. 현재 공식 보안 지원을 받는 버전은 PHP 8.1 이상입니다.

한국 Laravel 개발자에게 미치는 영향

호환성 및 마이그레이션 부담

Laravel 버전과 PHP 버전 매핑: PHP 7.1을 사용 중이라면 Laravel 5.5~5.8 수준에 머물러 있을 가능성이 높습니다. 현재 Laravel의 LTS 지원을 받으려면 최소 PHP 8.1, Laravel 10 이상으로의 마이그레이션이 필요합니다.
단기 조치: 현재 7.1.29 미만이라면 즉시 7.1.29로 패치. 단, PHP 7.1 자체가 EOL이므로 중장기적으로 PHP 8.x 마이그레이션 로드맵 수립 필수

보안 긴급도

이미지 업로드 기능이 있는 서비스(커머스, SNS, 커뮤니티 등)는 CVE-2019-11036, CVE-2019-11034, CVE-2019-11035 취약점으로 인해 즉각적인 위험에 처할 수 있습니다.
php.ini에서 exif 익스텐션이 활성화되어 있고(extension=exif), 사용자 이미지 입력을 처리하는 코드가 존재한다면 최우선 패치 대상입니다.

로컬 개발 환경별 조치

Laravel Valet (macOS)

# Homebrew를 통해 PHP 버전 확인php -v# 7.1 사용 중이라면 업그레이드 (가능한 경우 8.2 권장)brew upgrade php@7.1# 또는 마이그레이션 준비 중이라면brew install php@8.2valet use php@8.2

Laravel Sail (Docker)

docker-compose.yml의 PHP 이미지 태그를 확인하세요.
laravelsail/php71-composer 이미지를 사용 중이라면 해당 이미지의 기반 PHP 버전이 패치되었는지 확인이 필요합니다.
가능하면 laravelsail/php82-composer 또는 php83으로 전환을 검토하세요.

# docker-compose.yml 예시 — 업그레이드 방향
services:
  laravel.test:
    build:
      context: ./vendor/laravel/sail/runtimes/8.2  # 7.1 → 8.2

운영 서버 (CentOS/Ubuntu)

# Ubuntu — ondrej/php PPA 사용 시
sudo apt-get update
sudo apt-get install php7.1

# 현재 버전 확인
php -r "echo PHP_VERSION;"

# Remi Repository 사용 시 (CentOS/RHEL)
sudo yum update php71-php

⚠️ 국내 호스팅 환경(카페24, 가비아 등)에서는 PHP 버전 업그레이드를 관리 콘솔에서만 수행할 수 있는 경우가 있습니다. 해당 호스팅사의 지원 가능 PHP 버전 목록을 확인하세요.

실무 체크리스트

즉시 확인 (오늘)

php -v 명령으로 현재 PHP 버전 확인 (로컬/스테이징/운영 각각)
PHP 7.1.29 미만이라면 패키지 관리자를 통해 7.1.29로 업데이트
php -m | grep exif 명령으로 exif 익스텐션 활성화 여부 확인
애플리케이션에서 exif_read_data(), exif_imagetype() 또는 Intervention Image 등의 EXIF 관련 기능 사용 여부 확인
.env의 MAIL_MAILER 값이 mail인 경우 다른 드라이버(SMTP, Mailgun 등)로 전환 검토

단기 조치 (이번 주)

EXIF 기능이 불필요한 경우 php.ini에서 extension=exif 주석 처리 후 웹 서버 재시작
이미지 업로드 처리 시 파일 타입 화이트리스트 검증 로직 재검토
IMAP 기능 사용 여부 확인 — 사용 중이라면 imap_open() 입력값 검증 강화
운영 서버의 PHP 업데이트 후 php -v 및 핵심 기능 스모크 테스트 수행

중장기 계획 (이번 분기)

PHP 8.1 또는 8.2 마이그레이션 로드맵 수립 (deprecated 함수 목록 점검)
Laravel 버전 업그레이드 계획 수립 (Laravel 10 또는 11 타겟)
CI/CD 파이프라인에 PHP 버전 명시 및 보안 취약점 자동 알림 설정 (예: Dependabot, Snyk)
composer.json의 require.php 버전 제약 조건 현행화

// composer.json — 지원 PHP 버전 명시 업데이트 예시
{
  "require": {
    "php": "^8.1"
  }
}

편집자 주: 이 문서는 초안입니다. PHP 7.1의 EOL 날짜 및 각 호스팅 환경의 구체적인 업그레이드 절차는 발행 전 재확인을 권장합니다. CVE 심각도(CVSS 점수)는 공식 NVD 데이터베이스에서 추가 확인 후 본문에 보완하면 독자에게 더 유용한 정보가 될 것입니다.