← 아티클 목록
업데이트phplaravel업데이트

PHP 7.4.2 업데이트 — 한국 Laravel 개발자 영향 분석

작성: 라라벨 코리아 (초안)

발행: 2026년 8월 6일

## 요약

요약

PHP 7.4.2가 2020년 1월 23일 릴리스되었습니다. 이번 업데이트에는 두 건의 CVE 보안 취약점 패치를 포함하여 30개 이상의 버그 수정이 포함되어 있으며, Laravel 애플리케이션에서 자주 사용하는 Session, OPcache, cURL, Libxml 등 핵심 모듈에 영향을 주는 중요한 수정 사항이 다수 포함되어 있습니다.

핵심 내용

🔐 보안 취약점 (즉시 업그레이드 권고)

이번 릴리스에는 두 건의 CVE가 포함되어 있습니다.

  • CVE-2020-7060 — Mbstring 확장의 mbfl_filt_conv_big5_wchar 함수에서 전역 버퍼 오버플로우(global buffer-overflow)가 발견되었습니다. 한국어, 중국어, 일본어 등 멀티바이트 문자열을 처리하는 서비스에서 특히 위험도가 높습니다. Laravel에서 mb_convert_encoding(), mb_strlen() 등 mbstring 함수를 직접 또는 간접적으로 사용하는 경우 영향을 받을 수 있습니다.
  • CVE-2020-7059 — Standard 모듈의 php_strip_tags_ex에서 OOB(Out-of-Bounds) 읽기 취약점이 발견되었습니다. strip_tags() 함수를 사용하는 모든 코드가 잠재적으로 영향을 받습니다.

⚠️ 이 두 취약점만으로도 즉시 업그레이드할 충분한 이유가 됩니다.

🛠 Laravel 실무에 직접 영향을 주는 버그 수정

Session

  • session_create_id()의 힙 use-after-free 버그 수정 (버그 #79091): 세션 생성 중 메모리 손상이 발생할 수 있는 취약점이 수정되었습니다. Laravel의 세션 드라이버(file, database, Redis 등) 모두 내부적으로 이 함수에 의존하므로, 고트래픽 환경에서 간헐적 크래시를 경험했다면 이번 수정이 원인일 수 있습니다.
  • 세션 비직렬화 오류 수정 (버그 #79031): Laravel 세션 데이터 역직렬화 과정에서 발생하던 문제가 해결되었습니다.

OPcache

  • 타입 프로퍼티가 OPcache 파일 캐시에서 unknown으로 변환되는 버그 수정 (버그 #79055): PHP 7.4에서 도입된 타입 프로퍼티(typed properties)를 사용하는 Laravel Eloquent 모델에서 OPcache 파일 캐시 활성화 시 예상치 못한 동작이 발생할 수 있었습니다. 이 버그는 프로덕션 환경에서 침묵적으로 타입 안전성을 깨뜨릴 수 있어 주의가 필요합니다.
  • $GLOBALS 재할당에 대한 잘못된 최적화 수정 (버그 #78961), RTD 키 충돌로 인한 클로저 크래시 수정 (버그 #78903), 프리로딩 관련 세그폴트 수정 (버그 #78986) 등 OPcache 전반적인 안정성이 개선되었습니다.

Libxml (XMLReader / XMLWriter)

  • Use After Free 수정 (버그 #79029): Laravel에서 XML 기반 API 응답 파싱, RSS 피드 처리, SOAP 통신 등에 XMLReader나 XMLWriter를 사용하는 경우 메모리 손상 위험이 있었습니다.

cURL

  • 특정 URL과 POST 조합에서 발생하는 cURL 타임아웃 오류 수정 (버그 #79033): Laravel의 Http::post() (Guzzle 기반) 사용 시 특정 조건에서 타임아웃이 잘못 발생하던 문제입니다.
  • OpenSSL이 PKG_CONFIG_PATH를 무시하는 문제 수정 (버그 #79063): Docker 또는 커스텀 빌드 환경에서 SSL 설정이 의도대로 동작하지 않던 문제가 해결되었습니다.

Cookie 처리

  • 쿠키 값의 + 기호가 공백으로 변환되는 버그 수정 (버그 #78929): Laravel의 쿠키 기반 인증, 암호화 쿠키, CSRF 토큰 전달 과정에서 +가 포함된 Base64 인코딩 값이 손상되는 문제였습니다. 간헐적인 인증 실패나 세션 불일치의 원인이 되었을 수 있습니다.

PDO PostgreSQL

  • 데드 퍼시스턴트 커넥션 반환 문제 수정 (버그 #78982), 연결 끊김 감지 실패 수정 (버그 #78980): PostgreSQL을 메인 데이터베이스로 사용하는 Laravel 프로젝트에서 퍼시스턴트 커넥션 설정 시 무한 오류가 발생하던 문제입니다.

Windows 관련

  • Windows에서 PHP 7.4 성능 회귀 수정 (버그 #79008): Windows 개발 환경(Laragon, XAMPP 등) 사용자에게 체감 성능이 개선됩니다.
  • Windows에서 Preloading 지원이 공식적으로 비활성화됨: 안정성 문제로 인해 결정된 사항으로, Windows 환경에서 opcache.preload를 설정하더라도 적용되지 않습니다.

한국 Laravel 개발자에게 미치는 영향

한국어/다국어 처리 (mbstring — 최우선 주의)

한국어 처리는 mbstring에 강하게 의존합니다. CVE-2020-7060은 Big5 인코딩 처리 과정에서 발생하지만, 멀티바이트 필터 체인 전반에 영향을 줄 수 있습니다. 한글을 포함한 사용자 입력을 받는 모든 서비스는 이번 업데이트를 보안 필수 패치로 간주해야 합니다.

// 아래와 같이 mbstring을 사용하는 경우 영향받을 수 있음 mb_convert_encoding($input, 'UTF-8', 'auto'); mb_strlen($koreanString); mb_substr($title, 0, 50);

Laravel Sail / Docker 환경

Docker 이미지 기반으로 개발하는 경우, php:7.4-fpm 베이스 이미지를 7.4.2 이상으로 업데이트해야 합니다. Dockerfile에 버전을 명시하고 있다면 아래를 확인하세요.

# 변경 전 (예시) FROM php:7.4.1-fpm # 변경 후 FROM php:7.4.2-fpm

Laravel Valet (macOS)

Homebrew를 통해 PHP를 관리하는 경우:

brew upgrade php@7.4# 또는 shivammathur/php tap 사용 시brew upgrade shivammathur/php/php@7.4valet restart

OPcache 파일 캐시 사용자

opcache.file_cache 설정을 사용하는 프로덕션 서버에서는 업그레이드 후 반드시 캐시를 초기화해야 합니다. PHP 7.4의 타입 프로퍼티 관련 버그(#79055)가 캐시된 파일에 영향을 줄 수 있습니다.

# OPcache 파일 캐시 디렉터리 초기화 (경로는 php.ini 설정에 따라 다름)rm -rf /tmp/opcache/*php-fpm reload

호환성 고려 사항

  • PHP 7.4.2는 7.4.x 시리즈의 버그 수정 릴리스이므로 하위 호환성 파괴(Breaking Change) 없음.
  • Laravel 6.x (LTS), Laravel 7.x 모두 PHP 7.4를 공식 지원하므로 업그레이드 위험도가 낮습니다.
  • Composer 패키지 의존성 변경은 불필요합니다.

실무 체크리스트

로컬 개발 환경

  • PHP 버전 확인: php -v → 7.4.2 이상인지 검증
  • Homebrew(macOS): brew upgrade php@7.4 후 valet restart
  • Docker: 베이스 이미지를 php:7.4.2-fpm 이상으로 업데이트, docker build --no-cache로 재빌드
  • Windows(Laragon/XAMPP): PHP 7.4.2 바이너리 수동 교체 후 서비스 재시작
  • mbstring 확장 활성화 여부 재확인: php -m | grep mbstring

스테이징 환경

  • PHP 업그레이드 적용 후 전체 기능 테스트 실행: php artisan test
  • OPcache 파일 캐시를 사용하는 경우 캐시 디렉터리 초기화 후 재테스트
  • 세션 관련 기능 테스트: 로그인, 로그아웃, 세션 유지 동작 확인
  • cURL/HTTP Client 통신 엔드포인트 smoke test 수행
  • PostgreSQL 사용 시 DB 커넥션 풀 동작 확인
  • strip_tags() 사용 부분이 있다면 입력/출력 검증

프로덕션 환경

  • 롤링 업데이트 또는 블루-그린 배포 전략으로 무중단 적용
  • 업그레이드 전 현재 PHP 버전 및 설정(php.ini, 확장 목록) 백업
  • 업그레이드 후 phpinfo() 또는 php -v로 버전 확인
  • OPcache 파일 캐시 디렉터리 초기화: rm -rf {opcache.file_cache 경로}/*
  • Laravel OPcache 재웜업: php artisan opcache:clear (패키지 사용 시) 또는 php-fpm reload
  • 에러 로그 모니터링 (Sentry, Flare, CloudWatch 등) — 업그레이드 후 30분간 집중 모니터링
  • 세션 스토어(Redis, DB)에 저장된 기존 세션 데이터가 정상적으로 역직렬화되는지 확인
  • CVE-2020-7060, CVE-2020-7059 패치 적용 여부를 보안 감사 로그에 기록

편집자 검토 참고: 이 초안은 공식 PHP 7.4.2 변경 로그를 기반으로 작성되었습니다. CVE 영향 범위의 구체적 공격 벡터 설명은 NVD(국가취약점데이터베이스) 원문을 추가로 참조하여 보완하는 것을 권장합니다. Windows Preloading 비활성화가 특정 Windows 기반 한국 서버 환경에 미치는 영향도 추가 검증이 필요합니다.