← 아티클 목록
업데이트phplaravel업데이트

PHP 7.4.9 업데이트 — 한국 Laravel 개발자 영향 분석

작성: 라라벨 코리아 (초안)

발행: 2026년 8월 6일

## 요약

요약

PHP 7.4.9가 2020년 8월 6일 보안 업데이트로 출시되었습니다. 이번 릴리스에는 CVE-2020-7068(Phar 모듈 Use-after-free 취약점)을 포함한 다수의 보안 패치와 Core 엔진 수준의 세그멘테이션 폴트 수정이 포함되어 있습니다. PHP 7.4 시리즈를 운영 중인 Laravel 개발자라면 즉시 업그레이드를 검토해야 합니다.

핵심 내용

🔐 보안 취약점 수정 (CVE)

이번 7.4.9 릴리스에서 직접 패치된 CVE는 다음과 같습니다:

  • CVE-2020-7068 (Phar): phar_parse_zipfile() 함수 내부에서 해제된 해시 키를 재사용하는 Use-after-free 취약점이 수정되었습니다. Phar 아카이브를 파싱하는 과정에서 악의적으로 조작된 .phar 파일이 업로드되거나 처리될 경우 공격자가 이를 악용할 수 있습니다. Laravel 애플리케이션에서 Phar 파일을 직접 다루거나, Composer 자동화 스크립트가 서버 측에서 실행되는 환경이라면 특히 주의가 필요합니다.

참고: 이전 마이너 릴리스(7.4.4, 7.4.5)에서 수정된 CVE-2020-7064(EXIF Use-of-uninitialized-value), CVE-2020-7065(MBString 스택 버퍼 오버플로우), CVE-2020-7066(get_headers() 널 바이트 잘림), CVE-2020-7067(urldecode() OOB Read)가 이미 포함되어 있습니다. 7.4.4 이전 버전을 사용 중이라면 복수의 CVE에 동시에 노출된 상태입니다.

🐛 Core 엔진 안정성 개선

7.4.9에서 수정된 Core 버그들은 운영 환경에서 예기치 않은 프로세스 종료(Segfault) 로 이어질 수 있는 심각한 항목들입니다:

버그 번호설명Laravel 영향 범위
#79783php_str_replace_common 내 세그멘테이션 폴트str_replace() 사용 전반
#79784배열 쓰기 중 미정의 변수 변경 시 Use-after-free복잡한 배열 조작 로직
#79793미정의 인덱스 경고 중 문자열 변경 시 Use-after-free배열 처리 전반
#79792빈 배열 소멸 시 HT 이터레이터 미제거컬렉션, 반복문 처리
#79778미해결 정적 변수를 가진 클로저 덤프 시 Assertion 실패디버깅, 로깅 환경
#79779문자열 오프셋에 참조로 프로퍼티 할당 시 Assertion 실패모델 속성 처리

Laravel의 Collection, Blade 템플릿 렌더링, Eloquent 모델 처리 과정에서 배열과 클로저를 광범위하게 사용하기 때문에, 위 버그들은 운영 환경 장애로 직결될 수 있습니다.

📦 주요 컴포넌트별 수정 사항

Fileinfo (finfo_file 크래시)

  • FILEINFO_MIME 플래그 사용 시 크래시가 발생하는 버그(#79756)가 수정되었습니다.
  • Laravel의 파일 업로드 유효성 검사(mimes, mimetypes 규칙)는 내부적으로 finfo를 사용하므로, 파일 업로드 기능이 있는 서비스에서 간헐적 500 오류의 원인이 될 수 있었습니다.

Mbstring (mb_strimwidth 오동작)

  • mb_strimwidth()가 문자열을 트리밍하지 않는 버그(#79787)가 수정되었습니다.
  • 다국어(한국어 포함) 문자열 처리 시 mb_ 계열 함수를 사용하는 경우 출력 결과가 예상과 다를 수 있었습니다.

Reflection (정적 프로퍼티 조회 오류)

  • ::getStaticProperties()가 프로퍼티 수정 사항을 무시하거나(#79487), ::getStaticPropertyValue()가 protected 프로퍼티에서 예외를 던지는(#69804) 버그가 수정되었습니다.
  • Laravel의 서비스 컨테이너나 Facade, 또는 PHPUnit 기반 테스트에서 Reflection API를 직접 사용할 때 영향을 받을 수 있습니다.

Standard (array_walk 타입 무시 버그)

  • array_walk()가 프로퍼티 타입을 무시하는 버그(#79839)가 수정되었습니다. PHP 7.4에서 도입된 타입 프로퍼티(Typed Properties)와 함께 array_walk를 사용하는 경우 데이터 무결성 문제가 발생할 수 있었습니다.

한국 Laravel 개발자에게 미치는 영향

보안 긴급도: ⚠️ 높음

CVE-2020-7068은 Phar Use-after-free로, Composer를 활용한 패키지 관리나 .phar 기반 도구(예: PHPUnit, psalm.phar, php-cs-fixer.phar)를 CI/CD 파이프라인에서 실행하는 환경이라면 잠재적 공격 벡터가 될 수 있습니다. 이전 누적 CVE(7.4.4 ~ 7.4.8)를 한 번에 패치받는 효과도 있으므로 업그레이드 우선순위를 높여야 합니다.

한국어 문자열 처리 주의

mb_strimwidth() 버그 수정은 한국어, 일본어, 중국어 등 멀티바이트 문자를 다루는 서비스에서 직접적인 영향이 있습니다. 문자열 말줄임(...) 처리나 게시판 미리보기 등에서 이 함수를 사용하고 있다면 7.4.9 업그레이드 후 동작이 올바르게 변경됩니다. 기존 비정상 동작에 의존하던 코드가 있다면 사전에 확인이 필요합니다.

Laravel Valet (macOS)

# Homebrew를 통한 PHP 업그레이드brew upgrade php@7.4# Valet 재시작valet restart

Homebrew 포뮬러가 7.4.9로 업데이트된 경우 위 명령으로 적용 가능합니다. php -v로 버전을 반드시 확인하세요.

Laravel Sail / Docker

공식 php:7.4-fpm 또는 laravelsail/php74 이미지를 사용하는 경우, Docker Hub에서 최신 이미지를 pull하여 재빌드해야 합니다. 이미지 태그만으로는 자동 업데이트가 보장되지 않으므로 명시적으로 재빌드가 필요합니다.

docker pull php:7.4-fpm# 또는 Sail 사용 시./vendor/bin/sail build --no-cache

서버 직접 운영 환경 (Ubuntu/CentOS)

  • Ubuntu: ondrej/php PPA 사용 시 sudo apt update && sudo apt upgrade php7.4 로 업그레이드 가능합니다.
  • CentOS/RHEL: Remi's repository를 통해 sudo yum update php74 또는 sudo dnf update php7.4 를 실행합니다.
  • PHP-FPM 사용 환경은 업그레이드 후 반드시 FPM 서비스를 재시작해야 합니다.

호환성

PHP 7.4.9는 7.4 시리즈 내 패치 업데이트이므로 하위 호환성이 보장됩니다. Laravel 6.x(LTS), 7.x, 8.x(출시 예정 당시) 모두 코드 변경 없이 업그레이드 적용이 가능합니다.

실무 체크리스트

로컬 개발 환경

  • php -v 명령으로 현재 PHP 버전 확인
  • Valet 사용자: brew upgrade php@7.4 후 valet restart 실행
  • Sail/Docker 사용자: 이미지 재빌드(--no-cache 옵션 권장) 후 컨테이너 재시작
  • mb_strimwidth() 를 사용하는 한국어 문자열 처리 로직 동작 재확인
  • Typed Properties와 함께 array_walk()를 사용하는 코드 테스트
  • PHPUnit 등 .phar 기반 도구가 정상 동작하는지 확인

스테이징 환경

  • PHP 7.4.9로 업그레이드 후 전체 PHPUnit 테스트 스위트 실행
  • 파일 업로드 기능(MIME 타입 유효성 검사) 통합 테스트 수행
  • Reflection API를 사용하는 커스텀 서비스 컨테이너 바인딩 동작 확인
  • 에러 로그에서 Segfault 또는 Use-after-free 관련 오류가 사라졌는지 확인
  • opcache.preload 사용 환경이라면 Opcache 관련 설정 재검증 (7.4.7, 7.4.8에서 다수 수정)

운영(프로덕션) 환경

  • 배포 전 스테이징에서 충분한 검증 완료 여부 확인
  • 업그레이드 작업 전 현재 PHP 버전 및 설정(php.ini) 백업
  • PHP 업그레이드 (apt upgrade / yum update / dnf update)
  • PHP-FPM 서비스 재시작: sudo systemctl restart php7.4-fpm
  • 웹 서버(Nginx/Apache) 재시작 또는 reload
  • 배포 후 애플리케이션 헬스체크 및 에러 로그 모니터링 (최소 30분)
  • Opcache 캐시 초기화: opcache_reset() 또는 FPM 재시작으로 처리
  • 보안 스캐너 또는 취약점 관리 도구에 CVE-2020-7068 패치 적용 완료 기록

[초안 검토 의견] CVE-2020-7068의 실제 CVSS 점수 및 악용 가능성 난이도에 대한 공식 NVD 데이터를 추가로 확인하여 보안 긴급도 표현을 보완하는 것을 권장합니다. 또한 7.4.9가 현재 시점(2024년 기준)에서 PHP 7.4의 EOL(2022년 11월) 이후 버전임을 감안하여, PHP 8.x로의 마이그레이션 권고 문구를 별도 섹션으로 추가하는 것도 고려할 수 있습니다.