업데이트phplaravel업데이트

PHP 7.3.1 업데이트 — 한국 Laravel 개발자 영향 분석

작성: 라라벨 코리아 (초안)

발행: 2026년 8월 6일

## 요약

요약

PHP 7.3.1이 2019년 1월 10일에 출시되었으며, GD 이미지 처리 및 MBString 관련 다수의 힙 버퍼 오버플로우(Heap Buffer Overflow) 취약점이 포함된 보안 패치 릴리즈입니다. 특히 한국어 처리에 필수적인 MBString 확장에서 8개의 심각한 버그가 수정되어 한국 Laravel 개발자들에게 즉각적인 업그레이드가 권장됩니다. Laravel 5.x ~ 6.x를 PHP 7.3 환경에서 운영 중인 팀은 보안 위험 노출 여부를 반드시 점검해야 합니다.

핵심 내용

🔴 보안: MBString 다중 힙 버퍼 오버플로우 (긴급)

한국 개발 환경에서 가장 주목해야 할 변경사항입니다. mb_ 계열 함수는 한국어(UTF-8, EUC-KR 등) 문자열 처리에 광범위하게 사용되므로, 아래 취약점들은 직접적인 보안 위협이 됩니다.

버그 번호	설명	위험도
#77370	`fetch_token` 내 버퍼 오버플로우	높음
#77371	`compile_string_node` 내 힙 버퍼 오버플로우	높음
#77381	멀티바이트 `match_at` 힙 버퍼 오버플로우	높음
#77382	`expand_case_fold_string` 잘못된 길이로 인한 힙 버퍼 오버플로우	높음
#77385	`fetch_token` 버퍼 오버플로우	높음
#77394	멀티바이트 케이스 폴딩(유니코드) 버퍼 오버플로우	높음
#77418	`utf32be_mbc_to_code` 힙 오버플로우	높음
#77367	`mb_split` 음수 size 파라미터 처리 오류	중간

⚠️ 주의: mb_split(), mb_ereg(), mb_strtolower(), mb_convert_encoding() 등 멀티바이트 정규식 및 변환 함수를 사용자 입력값과 함께 사용하는 경우, 악의적인 입력을 통한 메모리 손상 공격에 노출될 수 있습니다.

🔴 보안: GD 이미지 처리 취약점

이미지 업로드 기능을 구현한 Laravel 애플리케이션에 영향을 미칩니다.

버그 번호	설명
#77269	`imagescale`에서 초기화되지 않은 힙 데이터에 대한 `efree()` → Use-after-free
#77270	`imagecolormatch` 힙 Out-of-Bounds Write
#77195	`imagecreatefromjpeg()` 잘못된 에러 핸들링
#77200	`imagecropauto(GD_CROP_SIDES)` 좌측만 크롭되는 버그

Intervention Image, Spatie Media Library 등 GD 기반 이미지 처리 패키지를 사용하는 프로젝트는 즉시 업그레이드해야 합니다.

🟡 기타 주요 버그 수정

Core (#77291): 트레이트(Trait)에서 상속된 매직 메서드(__construct, __toString 등)가 무시될 수 있는 버그 수정 — Laravel의 서비스 프로바이더, 모델 등에서 트레이트를 적극 활용하는 경우 예기치 않은 동작이 발생했을 수 있습니다.
CURL (#77264): curl_getinfo()가 마이크로초 대신 초 단위를 반환하도록 수정 — HTTP 클라이언트(Guzzle 등)의 응답 시간 측정 로직에 영향을 줄 수 있습니다.
Phar (#77247): phar_detect_phar_fname_ext의 힙 버퍼 오버플로우 수정 — Composer 및 Phar 아카이브 사용 환경에서 보안 위협 요소였습니다.
PCRE (#77193): preg_replace_callback의 무한 루프 수정 — 정규식 기반 라우팅 및 유효성 검사에 영향 가능.
Opcache (#77215, #77275): CFG 어설션 실패 및 ArrayAccess->offsetGet 최적화 문제 수정 — Opcache 활성화 환경에서 간헐적 크래시가 발생했을 수 있습니다.
SPL (#77359, #77360): spl_autoload 및 class_uses에서 세그폴트 수정 — Laravel의 오토로딩 메커니즘과 직접 연관됩니다.
Sodium (#77297): PHP 7.3 환경에서 SodiumException 세그폴트 수정 — Laravel의 암호화(encrypt()/decrypt()) 기능에 영향.

한국 Laravel 개발자에게 미치는 영향

호환성 및 보안 긴급도

Laravel 5.7 / 5.8 / 6.x 사용자 중 PHP 7.3.0을 사용 중인 경우 즉각 7.3.1 업그레이드 필요
mb_ 함수군 취약점은 사용자 입력을 멀티바이트 정규식으로 처리하는 모든 Laravel 애플리케이션에 잠재적 위협 — 검색, 폼 유효성 검사, API 파라미터 파싱 포함
SodiumException 세그폴트 수정으로 APP_KEY 기반 암호화 기능의 안정성 향상

로컬 개발 환경별 업그레이드 안내

Laravel Valet (macOS)

# Homebrew를 통한 PHP 업그레이드brew upgrade php@7.3# 또는 shivammathur/php tap 사용 시brew upgrade shivammathur/php/php@7.3valet restart

Laravel Sail (Docker)

# sail/runtimes 이미지 확인 후 재빌드./vendor/bin/sail build --no-cache./vendor/bin/sail up -d

Docker 직접 사용

php:7.3.1-fpm 또는 php:7.3.1-cli 공식 이미지로 FROM 태그 업데이트 필요
docker-compose.yml 또는 Dockerfile의 버전 핀을 7.3.0 → 7.3.1로 변경

운영 서버 (CentOS/Ubuntu)

# Ubuntu (ondrej/php PPA)
sudo apt update && sudo apt upgrade php7.3

# CentOS (Remi repository)
sudo yum update php73

마이그레이션 체크포인트

PHP 7.3.0 → 7.3.1은 하위 호환성 파괴 변경 없음 — 패치 버전 업그레이드이므로 코드 수정 불필요
curl_getinfo() 반환값 단위 변경(#77264)은 응답 시간 기반 비즈니스 로직이 있는 경우 테스트 필요 (마이크로초 → 초 복원)

실무 체크리스트

로컬 환경

php -v 명령으로 현재 PHP 버전 확인
PHP 7.3.0 사용 중이라면 7.3.1로 즉시 업그레이드
php -m | grep mbstring으로 MBString 확장 활성화 확인
mb_ereg(), mb_split() 등 멀티바이트 정규식 사용 코드에서 사용자 입력 처리 부분 코드 리뷰
Intervention Image 또는 직접 GD 함수(imagecreatefromjpeg, imagescale 등) 사용 여부 확인

스테이징 환경

PHP 7.3.1 업그레이드 후 php -i | grep "PHP Version" 확인
php artisan test 또는 PHPUnit 전체 테스트 스위트 실행
이미지 업로드/처리 기능 통합 테스트 실행
curl_getinfo(CURLINFO_TOTAL_TIME) 사용 코드 회귀 테스트 수행
Opcache 활성화 상태에서 ArrayAccess 구현체(컬렉션, 커스텀 객체) 동작 검증

프로덕션 환경

유지보수 모드 전환: php artisan down
PHP 7.3.1 패키지 업그레이드 (패키지 매니저 또는 Docker 이미지 교체)
PHP-FPM 재시작: sudo systemctl restart php7.3-fpm
Opcache 캐시 초기화: php artisan opcache:clear 또는 FPM 재시작으로 대체
에러 로그 모니터링 (최소 30분): /var/log/php7.3-fpm.log, Laravel storage/logs/laravel.log
APM(New Relic, Datadog 등) 또는 Sentry에서 오류율 기준선 대비 이상 여부 확인
유지보수 모드 해제: php artisan up

[편집자 검토 요청] curl_getinfo() 단위 변경(#77264)의 실제 영향 범위는 사용 패턴에 따라 다를 수 있어 추가 검증이 필요합니다. 해당 함수를 응답 시간 임계값 판단에 사용하는 팀은 별도 테스트를 권장합니다.