업계 소식 — 2026년 10월 24일

1. PHP 세션 기능에서 새 취약점 — 업데이트 전까지 설정으로 막기

PHP 개발팀이 세션 처리 과정에서 원격 코드 실행으로 이어질 수 있는 새 취약점(CVE-2026-115560)을 10월 23일 알렸고, 한국인터넷진흥원(KISA)이 다음 날 임시 조치를 권고했습니다. 아직 고친 버전이 나오지 않아 다음 정기 업데이트에서 해결될 예정입니다. 세션 저장 방식을 실행 중에 바꾸는 드문 설정에서만 문제가 되지만, 10월 21일 배포된 PHP 보안 업데이트로는 막히지 않습니다.

AI Tip PHP로 만든 홈페이지·관리 시스템을 쓰고 있다면 운영 업체에 「세션 업로드 진행률 기능을 껐는지」 확인을 요청해 두시면 됩니다. 이번 주 PHP2Shell 대응 때 이미 이 설정을 바꿨다면 추가로 할 일은 없습니다.

개발자 메모 php.ini 또는 PHP-FPM pool 설정에 session.upload_progress.enabled=0 을 넣고 모든 PHP 워커를 재시작합니다. 영향 조건은 session.serialize_handler 를 php_binary·php_serialize 로 두었다가 session_start() 전에 ini_set()으로 php 로 바꾸는 경우입니다.

원문 보기 — KISA 보호나라 · 원문 보기 — PHP 공식 공지(영어)

2. 지방세 환급금, 12월부터 평소 쓰는 금융 앱에서 조회·청구

행정안전부가 10월 22일 지방정부·금융결제원·카드사·은행·간편결제 기업과 지방세 환급금 조회·환급 서비스 업무협약을 맺었습니다. 지금은 위택스에 따로 들어가 확인하고 계좌이체로만 받을 수 있지만, 12월 개통 뒤에는 민간 앱에서 조회부터 지급 청구까지 한 번에 할 수 있습니다. 환급금을 일부 간편결제 페이머니로도 받을 수 있게 됩니다.

AI Tip 공공 데이터를 민간 앱에 열어 주는 「디지털서비스 개방」 방식이 세금 환급까지 넓어졌다는 뜻입니다. 공공기관이나 금융·플랫폼 쪽 시스템을 운영한다면 공공 정보를 받아 보여 주는 연계 기능의 요구가 앞으로 더 늘 것으로 보고 일정·예산을 잡아 두면 좋습니다.

원문 보기 — 행정안전부

3. 반도체 공장 인허가·통관을 한꺼번에 — 정부 13개 규제 개선 과제

산업통상부가 10월 23일 규제합리화위원회에서 관계부처와 함께 반도체 투자 속도를 높이기 위한 13개 개선 과제를 발표했습니다. 산업단지 인허가·보상·설계를 동시에 진행하는 패스트트랙, 산업단지 전체의 종합보세구역 지정 확대, 공사용 외국 장비의 세금 납부 유예 등이 담겼습니다. 유해화학물질 도급 승인을 한 번으로 인정하고 반도체 현장용 고압가스 안전기준 특례도 마련합니다.

AI Tip 반도체 장비·부품을 공급하거나 공장 설비 관리 시스템을 다루는 고객사라면 통관·보세 절차가 바뀌는 시점에 맞춰 물류·재고 관리 화면과 서류 흐름을 점검할 필요가 있습니다. 세부 시행 일정은 각 법령 개정에 따라 달라지므로 관세청·산업부 후속 발표를 확인하시기 바랍니다.

원문 보기 — 산업통상부(정책브리핑)

4. 미국 Oracle, Java 의 인도 인증기관 중간 인증서 신뢰 해제 — 긴급 보안 경보

미국 Oracle 이 10월 21일 Java SE 와 GraalVM 에 대한 긴급 보안 경보(CVE-2026-91403)를 냈고, KISA 도 10월 23일 업데이트를 권고했습니다. 최근 인증서 문제가 알려진 인도 인증기관 eMudhra 의 중간 인증서들을(10월 22일 회차에서 다룬 소식) Java 가 더는 믿지 않도록 바꾸는 조치입니다. Oracle 은 위험도를 10점 만점에 9.1점으로 매겼습니다.

AI Tip Java 로 만든 서버·업무 프로그램을 운영한다면 이번 Java 업데이트가 반영됐는지 운영 업체에 확인하시기 바랍니다. 같은 시기 Amazon 의 무료 Java 배포판(Corretto)도 10월 분기 보안 업데이트를 냈으니, 어떤 Java 를 쓰는지에 따라 해당 배포판의 최신판으로 올리면 됩니다.

개발자 메모 영향 버전은 Oracle Java SE 8u511·11.0.33·17.0.21·21.0.13·25.0.5·27.0.1, GraalVM for JDK 17.0.21·21.0.13, GraalVM Enterprise 21.3.20 입니다(JSSE 구성요소). Corretto 는 27.0.1.0.10·25.0.5.0.9·21.0.13.0.10·17.0.21.0.10·11.0.33.0.9·8u512 가 나왔습니다.

원문 보기 — KISA 보호나라(Oracle 경보 안내) · 원문 보기 — AWS 공지(영어)

5. 미국 GitHub, 자동 빌드(Actions) 저장소 주소 추가 — 방화벽 허용 목록 확인

미국 GitHub 이 10월 22일 자동 빌드·배포 기능인 GitHub Actions 의 기록 저장소 주소를 새로 추가했다고 알렸습니다. 용량과 안정성을 늘리기 위한 것으로, 허용할 주소 목록을 알려 주는 공식 API 에도 반영됐습니다. 사내망에서 허용한 주소만 나가도록 막아 둔 곳은 새 주소를 넣지 않으면 작업 기록과 요약이 끊길 수 있습니다.

AI Tip GitHub 으로 소스를 관리하고 자동 배포를 쓰는데 회사 방화벽이 엄격하다면 네트워크 담당자에게 이번 주소 추가를 전달해 두시면 됩니다. 이미 주소를 묶음(와일드카드)으로 허용했다면 할 일은 없습니다.

개발자 메모 새 호스트는 productionresultssa30~49, productionresultssa100~199 .blob.core.windows.net 입니다. productionresultssa*.blob.core.windows.net 으로 허용해 두었다면 변경이 필요 없습니다.

원문 보기 — GitHub Changelog(영어)

6. 미국 AWS, 코드 취약점을 AI 가 찾아 검증·수정안까지 내는 서비스 정식 출시

미국 AWS 가 10월 22일 코드 취약점 관리 서비스 「AWS Continuum for code vulnerabilities」를 정식 출시했습니다. 기존 점검 결과와 코드를 모아 실제로 악용될 수 있는지 격리된 환경에서 시험해 보고, 업무 영향 순으로 정리한 뒤 고치는 코드를 개발 흐름에 제안합니다. 처음에는 사람이 승인하는 방식으로 쓰다가 신뢰가 쌓이면 정해 둔 범위 안에서 자동 처리로 바꿀 수 있습니다.

AI Tip 보안 점검 보고서의 「위험」 항목이 너무 많아 무엇부터 고칠지 막막했다면, 이런 도구는 실제 위험한 것만 추려 준다는 점에서 의미가 있습니다. 다만 자동 수정은 처음부터 맡기기보다 승인 방식으로 정확도를 먼저 확인하는 것이 안전합니다.

원문 보기 — AWS 공지(영어)