← 아티클 목록
업데이트phplaravel업데이트

PHP 7.2.21 업데이트 — 한국 Laravel 개발자 영향 분석

작성: 라라벨 코리아 (초안)

발행: 2026년 8월 6일

## 요약

요약

PHP 7.2.21이 2019년 8월 1일 릴리스되었으며, EXIF 처리 과정에서 발생하는 힙 버퍼 오버플로우 취약점 두 건(CVE-2019-11041, CVE-2019-11042)을 포함한 다수의 버그가 수정되었습니다. 해당 CVE는 원격에서 악의적으로 조작된 이미지 파일을 통해 악용될 수 있어 보안 업데이트 적용이 시급합니다. 이미지 업로드 기능을 운영 중인 Laravel 애플리케이션이라면 즉각적인 업그레이드를 강력히 권장합니다.

핵심 내용

🔴 보안 취약점 (즉시 대응 필요)

이번 릴리스에서 가장 중요한 변경 사항은 EXIF 관련 두 건의 CVE입니다.

  • CVE-2019-11042 — exif_process_user_comment 함수에서 발생하는 힙 버퍼 오버플로우 (Bug #78256)
  • CVE-2019-11041 — exif_scan_thumbnail 함수에서 발생하는 힙 버퍼 오버플로우 (Bug #78222)

두 취약점 모두 공격자가 특수하게 조작된 이미지 파일(JPEG 등)을 서버에 업로드하거나 처리하도록 유도함으로써 악용될 수 있습니다. PHP의 exif_read_data(), exif_thumbnail() 등을 직접 호출하거나, Laravel의 Intervention Image 같은 이미지 처리 패키지를 사용하는 경우 잠재적인 공격 표면이 됩니다.

⚠️ 주의: 이전 마이너 버전(7.2.19, 7.2.18, 7.2.17, 7.2.16 등)에서도 EXIF 관련 CVE가 누적되어 수정되었습니다. 7.2.20 이하를 사용 중이라면 복수의 보안 취약점에 노출된 상태일 수 있습니다.

🟡 주요 버그 수정

OPcache

  • opcache_get_configuration()이 일부 디렉티브를 누락하던 문제 수정 (Bug #78291)
  • 파일 캐시에서 uname 해시의 마지막 문자가 잘리던 문제 수정 (Bug #78189)
  • 캐시 히트 통계가 32비트로 캡핑되던 문제 수정 (Bug #78202)

OPcache를 적극 활용하는 프로덕션 환경에서는 캐시 통계 모니터링의 정확도가 개선됩니다.

Standard 라이브러리

  • password_hash()에서 argon2 알고리즘 사용 시 취약한 옵션이 적용되던 문제 수정 (Bug #78269)
  • touch()가 64비트 환경에서 2038년 이후 날짜를 처리하지 못하던 문제 수정 (Bug #78241)

password_hash() 관련 수정은 argon2i/argon2id를 사용하는 인증 시스템에 직접 영향을 미칩니다. Laravel의 Hash::make() 드라이버로 argon을 사용 중이라면 이번 수정으로 더 강력한 해싱 옵션이 적용됩니다.

Libxml

  • CGI/FastCGI 환경에서 libxml_disable_entity_loader 설정이 요청 간 공유되던 문제 수정 (Bug #78279)

이 버그는 XXE(XML External Entity) 방어 설정이 의도치 않게 무력화될 수 있는 잠재적 보안 위험이었습니다. PHP-FPM을 사용하는 Laravel 환경에서 XML 처리를 수행하는 경우 확인이 필요합니다.

FTP

  • SSL 사용 시 메모리 누수 수정 (Bug #77124)

PDO_Sqlite

  • 스키마 변경 후 Prepared Statement 재사용 시 Segmentation Fault 수정 (Bug #78192)

SQLite

  • SQLite 3.28.0으로 업그레이드

OpenSSL

  • stream_socket_accept 사용 시 Segfault 수정 (Bug #78231)

Phar

  • RSHUTDOWN 단계에서 발생할 수 있는 Use-After-Free(UAF) 수정 (Bug #77919)

한국 Laravel 개발자에게 미치는 영향

호환성

PHP 7.2.21은 7.2 브랜치의 패치 릴리스이므로 하위 호환성 파괴(Breaking Change)는 없습니다. composer.json의 PHP 버전 제약 조건("php": "^7.2")을 변경할 필요가 없습니다.

이미지 업로드 기능 운영 중인 서비스 — 긴급 대응 필요

한국 Laravel 개발자 커뮤니티에서 널리 사용되는 이미지 처리 조합:

  • intervention/image + php-gd 또는 php-imagick
  • S3/NCP Object Storage 업로드 전 서버 사이드 리사이징

위 조합을 사용 중이고 사용자가 업로드한 이미지를 서버에서 직접 처리한다면, CVE-2019-11041/11042는 실질적인 공격 벡터가 됩니다. 악의적으로 조작된 JPEG 파일 하나로 힙 손상이 발생할 수 있습니다.

Laravel Valet (macOS)

Homebrew를 통해 PHP를 관리하는 Valet 사용자는 다음 명령으로 업데이트할 수 있습니다:

brew upgrade php@7.2valet restart

단, Homebrew의 PHP 7.2 패키지 업데이트 타이밍은 공식 릴리스와 차이가 있을 수 있으므로 php -v로 버전을 반드시 확인하세요.

Laravel Sail / Docker

공식 laravelphp/sail 이미지 또는 커스텀 Dockerfile에서 FROM php:7.2-fpm을 사용 중이라면:

# 베이스 이미지 재빌드 또는 docker pull로 최신 패치 이미지 확인 FROM php:7.2-fpm

Docker Hub의 php:7.2-fpm 공식 이미지는 PHP 패치 릴리스에 맞춰 업데이트되므로, docker pull php:7.2-fpm 후 이미지 재빌드를 권장합니다.

PHP-FPM 운영 환경 (AWS, NCP, 카페24 등)

국내 클라우드(NCP, AWS Korea 리전) 또는 호스팅 환경에서 PHP 7.2를 패키지 매니저로 관리하는 경우:

# Ubuntu/Debian (ondrej/php PPA 사용 시) sudo apt-get update && sudo apt-get upgrade php7.2 # CentOS/RHEL (Remi's repo 사용 시) sudo yum update php72

password_hash() argon2 수정 영향

Laravel의 config/hashing.php에서 드라이버를 argon 또는 argon2id로 설정한 경우, 이번 수정으로 해싱 강도가 변경될 수 있습니다. 기존 해시값의 검증(verify)은 정상 동작하지만, 신규 생성 해시는 더 강한 파라미터가 적용됩니다. bcrypt 사용자에게는 영향이 없습니다.

실무 체크리스트

로컬 개발 환경

  • php -v 명령으로 현재 PHP 버전 확인
  • Valet 사용자: brew upgrade php@7.2 && valet restart 실행 후 버전 재확인
  • Sail/Docker 사용자: docker pull php:7.2-fpm 후 docker-compose build --no-cache 실행

스테이징 환경

  • PHP 7.2.21로 업그레이드 후 php -v로 버전 확인
  • php-fpm 서비스 재시작: sudo systemctl restart php7.2-fpm
  • 이미지 업로드 기능 통합 테스트 실행 (EXIF 처리 경로 포함)
  • OPcache 활성화 환경에서 opcache_get_status() 및 opcache_get_configuration() 출력 정상 여부 확인
  • XML 처리 로직이 있는 경우 libxml_disable_entity_loader() 동작 검증

프로덕션 환경

  • 배포 전 스테이징에서 전체 테스트 통과 확인
  • 점진적 배포(롤링 업데이트) 또는 블루-그린 배포 적용 권장
  • PHP 업그레이드 후 PHP-FPM 프로세스 완전 재시작 (graceful reload): 
    sudo systemctl reload php7.2-fpm# 또는sudo kill -USR2 $(cat /run/php/php7.2-fpm.pid)
  • 업그레이드 후 애플리케이션 에러 로그(storage/logs/laravel.log) 및 PHP 에러 로그 모니터링 (최소 30분)
  • Argon2 해싱 드라이버 사용 중인 경우 로그인 기능 정상 동작 확인
  • 보안 취약점 대응 완료를 팀 내 문서(Confluence, Notion 등)에 기록

장기 고려사항

ℹ️ PHP 7.2는 2020년 11월 30일부로 공식 지원이 종료(End of Life)되었습니다. 현재 시점에서 7.2를 운영 중이라면 PHP 8.1 이상으로의 마이그레이션 계획 수립을 강력히 권고합니다. Laravel 10은 PHP 8.1 이상을 요구하며, 보안 지원을 받는 버전으로의 전환이 중장기적으로 필수적입니다.

편집자 주: 이 문서는 초안입니다. PHP 7.2의 공식 EOL(2020-11-30) 이후 시점을 감안하여, 독자 대상이 레거시 시스템 유지보수 담당자임을 본문에 명시하는 것을 검토해 주세요. CVE 심각도(CVSS 점수)는 공식 데이터에 포함되지 않아 별도 기재하지 않았습니다.