본문 바로가기
← PHP 소식
PHP 8.4.21보안

PHP 8.4.21 변경 기록과 적용 점검

릴리스: 2026년 5월 7일

게시: 2026년 9월 16일

PHP 8.4.21 공식 변경 기록에서 구성요소와 CVE를 추출하고 사용 환경별 확인 순서를 제공합니다.

PHP 8.4.21 변경 사항

공식 php-src 태그의 NEWS에서 이 버전의 항목만 추출했습니다. 아래 구성요소와 확인 순서는 원문에 따라 자동 구성됩니다. 애플리케이션 호환성이나 취약점 영향 여부를 판정하지 않습니다.

변경된 구성요소

Core · CLI · Curl · DOM · FPM · Iconv · MBString · Opcache · OpenSSL · PDO_Firebird · Phar · Random · Session · SOAP · SPL · Standard · Streams · XSL · Zip

원문에 명시된 CVE

사용 환경별 확인 순서

  • php -v와 php -m으로 실제 실행 버전과 확장 목록을 확인하고 아래 원문에서 사용 중인 구성요소의 변경을 찾으세요.
  • composer check-platform-reqs로 설치 환경의 요구사항을 확인하세요. 성공하더라도 동작 호환성까지 보장하지는 않습니다.
  • PHP-FPM을 사용한다면 스테이징에서 프로세스 재시작과 오류 로그를 확인하세요.
  • PDO를 사용한다면 실제 데이터베이스 드라이버로 조회·트랜잭션 테스트를 실행하세요.
  • TLS 연결을 사용한다면 외부 API·메일 서버 연결과 인증서 검증을 점검하세요.
  • 배포 전 스테이징에서 애플리케이션 테스트를 실행하고, 배포 후 웹 프로세스와 큐 워커가 새 PHP를 사용하는지 확인하세요.

공식 변경 기록

07 May 2026, PHP 8.4.21

  • Core: . Fixed bug GH-19983 (GC assertion failure with fibers, generators and destructors). (iliaal) . Fixed bug GH-21478 (Forward property operations to real instance for initialized lazy proxies). (iliaal) . Fixed bug GH-21605 (Missing addref for Countable::count()). (ilutov) . Fixed bug GH-21699 (Assertion failure in shutdown_executor when resolving self::/parent::/static:: callables if the error handler throws). (macoaure) . Fixed bug GH-21603 (Missing addref for __unset). (ilutov) . Fixed bug GH-21760 (Trait with class constant name conflict against enum case causes SEGV). (Pratik Bhujel)

  • CLI: . Fixed bug GH-21754 (--rf command line option with a method triggers ext/reflection deprecation warnings). (DanielEScherzer)

  • Curl: . Add support for brotli and zstd on Windows. (Shivam Mathur)

  • DOM: . Fixed GHSA-4jhr-8w89-j733 and GH-21566 (Dom\XMLDocument::C14N() emits duplicate xmlns declarations after setAttributeNS()). (CVE-2026-7263) (David Carlier) . Fixed bug GH-21688 (segmentation fault on empty HTMLDocument). (David Carlier) . Upgrade to lexbor v2.7.0. (CVE-2026-29078, CVE-2026-29079) (ndossche, ilutov)

  • FPM: . Fixed GHSA-7qg2-v9fj-4mwv (XSS within status endpoint). (CVE-2026-6735) (Jakub Zelenka)

  • Iconv: . Fixed bug GH-17399 (iconv memory leak on bailout). (iliaal)

  • MBString: . Fixed GHSA-wm6j-2649-pv75 (Null pointer dereference in php_mb_check_encoding() via mb_ereg_search_init()). (CVE-2026-7259) (vi3tL0u1s) . Fixed GHSA-74r9-qxhc-fx53 (Out-of-bounds access in mbfl_name2encoding_ex()). (CVE-2026-6104) (ilutov)

  • Opcache: . Fixed bug GH-21158 (JIT: Assertion jit->ra[var].flags & (1<<0) failed in zend_jit_use_reg). (Arnaud) . Fixed bug GH-21593 (Borked function JIT JMPNZ smart branch). (ilutov) . Fixed bug GH-21460 (COND optimization regression). (Dmitry, Arnaud) . Fixed faulty returns out of zend_try block in zend_jit_trace(). (ilutov)

  • OpenSSL: . Fix a bunch of memory leaks and crashes on edge cases. (ndossche)

  • PDO_Firebird: . Fixed GHSA-w476-322c-wpvm (SQL injection via NUL bytes in quoted strings). (CVE-2025-14179) (SakiTakamachi)

  • Phar: . Restore is_link handler in phar_intercept_functions_shutdown. (iliaal) . Fixed bug GH-21797 (phar: NULL dereference in Phar::webPhar() when SCRIPT_NAME is absent from SAPI environment). (iliaal) . Fix memory leak in Phar::offsetGet(). (iliaal) . Fix memory leak in phar_add_file(). (iliaal) . Fixed bug GH-21799 (phar: propagate phar_stream_flush return value from phar_stream_close). (iliaal) . Fix memory leak in phar_verify_signature() when md_ctx is invalid. (JarneClauw)

  • Random: . Fixed bug GH-21731 (Random\Engine\Xoshiro256StarStar::__unserialize() accepts all-zero state). (iliaal)

  • Session: . Fixed memory leak when session GC callback return a refcounted value. (jorgsowa)

  • SOAP: . Fixed GHSA-85c2-q967-79q5 (Stale SOAP_GLOBAL(ref_map) pointer with Apache Map). (CVE-2026-6722) (ilutov) . Fixed GHSA-m33r-qmcv-p97q (Use-after-free after header parsing failure with SOAP_PERSISTENCE_SESSION). (CVE-2026-7261) (ilutov) . Fixed GHSA-hmxp-6pc4-f3vv (Broken Apache map value NULL check). (CVE-2026-7262) (ilutov)

  • SPL: . Fixed bug GH-21499 (RecursiveArrayIterator getChildren UAF after parent free). (Girgias) . Fix concurrent iteration and deletion issues in SplObjectStorage. (ndossche)

  • Standard: . Fixed GHSA-96wq-48vp-hh57 (Signed integer overflow of char array offset). (CVE-2026-7568) (TimWolla) . Fixed GHSA-m8rr-4c36-8gq4 (Consistently pass unsigned char to ctype.h functions). (CVE-2026-7258) (ilutov)

  • Streams: . Fixed bug GH-21468 (Segfault in file_get_contents w/ a https URL and a proxy set). (ndossche)

  • XSL: . Fixed bug GH-21600 (Segfault on module shutdown). (David Carlier)

  • Zip: . Fixed bug GH-21698 (memory leak with ZipArchive::addGlob() early return statements). (David Carlier)

출처

PHP 8.4.21 공식 NEWS · 현재 PHP 지원 일정

원문에 없는 지원 종료일, CVE, Laravel 호환성 결론은 자동으로 추가하지 않습니다.

php.net 공식 릴리스 노트 보기 →