PHP 공홈 23일 추가알림 - 세션관련 php.ini 설정 변경 권고

session.upload_progress.enabled=0 으로 바꿀것을 권고한다네요.
 

https://www.php.net/archive/2026.php#2026-10-23-1

내용:

21일 패치로 한차례 수정되었는데요.
특정 코드에서 (php 직렬화/역직렬화 과정과 조합해서) 공격 가능성이 있다고 합니다.
특수한 경우라서 다음달 정기릴리즈때 패치한다네요.
지금은 저거 끄세요.

-----------------------


session.upload_progress.enabled  이게 기본값이 1 이거든요...
이게 처음에 추가된게 파일 업로드 상태바 쉬우라고 만든건데
ajax 에는 이미 기능이 있어서 저거 꺼놔도 아무문제가 없어요.

저걸 켤일이 없을겂니다.


그러고보니 저는 cgi.fix_pathinfo = 1 이것도 꺼야된다고(0 으로 지정하기) 생각해요.
주소요청시에 php 파일이 없으면 같은 폴더내 이름이 같은 jpg 등도 실행하거든요...
라이믹스처럼 라우터가 따로있으면 그럴일 없겠지만 워드프레스랑 그누보드 5 같은건... 그냥  php 를 바로 실행하니까요.