Rhymix - 홈페이지 안에 phpMyAdmin 설치해 두신 분들은 삭제하세요.

기진곰

2026.11.04 11:57

DB 관리 편의를 위해 홈페이지 안에 phpMyAdmin을 설치해 두시는 분들이 있습니다.

example.com/phpMyAdmin 이라든지... example.com/pma 라든지...

폴더 이름 바꾸는 꼼수 써봤자 거기서 거기더군요.

모두 삭제하시기 바랍니다. 지금 당장요.

phpMyAdmin에서 7가지 보안취약점이 무더기로 공개되었는데

개발자분에게 무슨 사정이 있는지, 1년째 새 버전이 나오지 않고 있습니다.

해외에서는 보안취약점 발견시 개발자(제작사)가 패치할 수 있도록 90일의 텀을 주는 것이 관례입니다.

기다리다 지쳐서 그냥 공개해 버린 모양입니다.

나중에 필요할 때 최신 버전을 구해서 다시 설치해서 쓰시기 바랍니다.

단, 이 때도 위의 예제처럼 쉽게 예측할 수 있는 경로에 설치하지는 마시고요.

pMA2026이라고 해놓으면 모르겠지? 천만의 말씀, AI는 찾을 수 있어요.

따라서 .htaccess로 해당 경로에 접근할 수 있는 IP를 제한해 두는 것을 추천합니다.

단독서버를 운영하신다면 홈페이지와 아예 관계없는 (서브)도메인에 phpMyAdmin만 따로 설치하고,

그 도메인에만 클라우드플레어를 달아서 방어하는 것도 괜찮은 방법입니다.

결론:

1. 편리함은 위험합니다.

2. 이제는 전쟁입니다. 업데이트 안 하면 죽음입니다.

기진곰 Lv. 27

이 구역의 전속 곰탱이입니다. 라이믹스를 개발하고 있어요.

YJSoft

41분 전

CVE	취약한 부분	패치 여부	수정 커밋
CVE-2026-119426	CSRF 우회: 잘못된 토큰에도 기존 요청 객체의 POST 데이터가 남아 임의 SQL 실행 가능	5.2.3 미패치 master 수정 QA_5_2 미패치	9103223, d1e2b54, d27d150, 48fd0f4
CVE-2026-119427	SQL 인젝션: Designer의 saveSetting()에서 JSON 데이터를 SQL에 안전하게 인용하지 않음	5.2.3 미패치 master 수정 QA_5_2 미패치	8d1244a, ec0c6d8
CVE-2026-119428	SSRF: setup/validate.php에서 설정 기능 비활성화 여부를 검사하지 않아 인증 없이 내부망 접근 가능	5.2.3 미패치 master 수정 QA_5_2 미패치	126ac3a, 510e442
CVE-2026-119429	2FA 제거: SetConfigController에서 설정 키를 임의 변경하여 2단계 인증 비활성화 가능	5.2.3 미패치 master 취약 기능 제거 QA_5_2 미패치	6482dfa, b2a3e41
CVE-2026-119561	WebAuthn 우회: CustomServer에서 인증기 서명을 등록된 공개키로 검증하지 않음	5.2.3 미패치 master 미패치 QA_5_2 미패치	확인된 수정 커밋 없음
CVE-2026-119562	SQL 인젝션: Central Columns의 col_extra, col_attribute를 SQL에 직접 결합	5.2.3 미패치 master 미패치 QA_5_2 미패치	확인된 수정 커밋 없음
CVE-2026-119563	저장형 XSS: Designer 쿼리 기록에서 테이블 이름을 안전하게 이스케이프하지 않음	5.2.3 미패치 master 수정 확인 안 됨 QA_5_2 미패치	확인된 수정 커밋 없음

아예 패치가 안된건 아니고 master 브랜치(6.0.0-dev)에는 일부 취약점이 패치된것이 확인됩니다.

https://www.phpmyadmin.net/security/

다만 5.2.x 유지보수 브랜치(QA_5_2)에는 하나도 반영되어 있지 않습니다. 공식 홈페이지 Security 페이지도 업데이트되고 있지 않고요. 또한 pma를 외부에 노출시키는건 좋을게 하나도 없으니 본문에 나온대로 패치되더라도 제한적으로 접속가능하게 유지해야겠습니다.