치명적인 PHP 원격 코드 실행 취약점(php2shell) 해결

2026년 10월 21일, PHP 프로젝트는 php2shell로 알려진 두 가지 치명적인 취약점에 대한 긴급 보안 업데이트를 출시했습니다. 특정 조건에서는 인증되지 않은 공격자가 PHP를 실행하는 서버에서 코드를 실행할 수 있으며, 해당 취약점에 대한 소식이 공식 발표 하루 전에 유출되었습니다. UVS Manager 웹 인터페이스는 PHP 8.4(nginx 및 PHP-FPM)에서 실행되므로, 4.19.8에서는 PHP를 수정 사항이 적용된 8.4.27로 업그레이드합니다. 이 릴리스의 주요 목적입니다.

이번 릴리스에서 수정된 두 가지 CVE

설명과 CVSS 점수는 공식 PHP 발표에서 가져왔습니다. UniVirStor 4.19.7 및 그 이전 버전에는 이 수정 사항이 적용되지 않은 PHP 빌드가 포함되어 있으므로 모든 고객이 가능한 한 빨리 업그레이드할 것을 권장합니다.

4.19.8의 적용 범위

업그레이드 전 임시 보호

업그레이드가 완료될 때까지 신뢰할 수 있는 관리 네트워크만 UVS Manager 웹 인터페이스에 접근하도록 허용하는 것이 좋습니다. 예를 들어 UFW Manager 또는 기존 방화벽을 사용하여 소스 주소를 제한할 수 있습니다. 이렇게 하면 위험을 줄일 수 있지만 업그레이드를 대신할 수는 없습니다.

운영 체제와 Ceph를 함께 업데이트

PHP만 업데이트하는 대신, 이번 릴리스에서는 전체 런타임 환경을 새롭게 정비합니다.

Ceph가 19.2.7로 업그레이드됨

2026년 10월 12일, Ceph 프로젝트는 Squid 시리즈의 일곱 번째 유지 관리 릴리스인 Squid 19.2.7을 출시했습니다. CephFS 클라이언트 충돌과 교착 상태를 비롯한 여러 문제를 해결하며, Ceph 프로젝트는 모든 배포 환경에서 업데이트할 것을 권장합니다. 새로 배포되거나 업그레이드된 UniVirStor 4.19.8 클러스터는 모두 이 버전을 실행하며, 오프라인 사이트에서는 인터넷에 연결하지 않고도 업그레이드 패키지에 포함된 컨테이너 이미지를 사용해 업그레이드를 완료할 수 있습니다.

운영 체제 및 서비스 패키지

운영 체제 커널, nginx, Samba, 시간 동기화 및 기타 시스템 패키지에 최신 보안 및 유지 관리 업데이트가 적용됩니다.

더 짧은 업그레이드 시간

업그레이드에 새 운영 체제 커널이 포함된 경우 각 노드를 차례로 재부팅해야 합니다. 4.19.8부터 업그레이드의 마지막 재부팅에는 kexec 웜 재부팅이 사용됩니다. 새 커널이 직접 로드되므로 BIOS/UEFI 전원 켜기 자체 테스트와 RAID/HBA 초기화를 건너뛰어 각 노드의 재부팅 시간과 OSD가 오프라인 상태로 유지되는 시간이 단축됩니다. 웜 재부팅을 사용할 수 없는 플랫폼은 자동으로 일반 재부팅으로 전환되며, 업그레이드는 평소와 같이 계속됩니다.

업그레이드 방법

업그레이드는 Ambedded 지원을 통해 수행됩니다. 노드는 한 번에 하나씩 업그레이드되며, 각 노드의 서비스가 차례로 잠시 재시작됩니다. 유지 관리 시간대에 업그레이드를 예약하는 것이 좋습니다.

신규: CephFS 스냅샷 및 일정 관리

CephFS 페이지에 스냅샷 및 일정 탭이 추가되어, 이전에는 Ceph 명령이 필요했던 스냅샷 관리를 이제 UVS Manager에서 직접 수행할 수 있습니다.

수동 스냅샷

디렉터리 트리에서 디렉터리 또는 하위 볼륨을 선택하여 스냅샷을 생성, 확인 및 삭제할 수 있으며, 각 스냅샷의 생성 시간이 표시됩니다.

스냅샷 일정 및 보존 규칙

디렉터리에 대한 반복 스냅샷 일정을 생성하고(예: 매시간, 매일, 매주 또는 매월), 이를 편집, 삭제하거나 일시 중지할 수 있습니다. 보존 규칙을 사용하면 시스템이 정책 범위를 벗어난 스냅샷을 자동으로 제거합니다. 예를 들어 최근 24개의 시간별 스냅샷과 7개의 일별 스냅샷을 보존할 수 있습니다.

스냅샷이 사용하는 공간

CephFS 스냅샷은 기록 중 복사(copy-on-write) 방식입니다. 스냅샷을 생성해도 데이터가 복사되지는 않습니다. 추가 공간은 스냅샷 생성 후 수정되거나 삭제되었지만 스냅샷에서 계속 보존해야 하는 이전 데이터로 인해 발생하며, 원시 디스크 사용량은 해당 데이터 양에 데이터 풀의 복제본 수 또는 삭제 코딩 오버헤드를 곱한 값입니다. 데이터 변경률을 고려하여 보존 규칙을 계획하세요.

NFS: NFS 클러스터별 익명 UID/GID 설정

이전에는 NFS 익명 UID/GID(익명 ID)가 모든 NFS 클러스터에서 공유되는 전역 설정이었습니다. 4.19.8에서는 NFS 클러스터별로 설정됩니다. NFS 클러스터를 생성할 때 이를 지정할 수 있으며, 이후 클러스터를 편집할 때 확인하거나 변경할 수 있습니다. 표시되는 값은 Ceph에서 실제로 적용 중인 값입니다. 변경 사항은 해당 클러스터에만 적용되며 다른 클러스터에는 영향을 주지 않습니다.

이를 통해 서로 다른 신뢰 수준의 클라이언트를 분리할 수 있습니다. 예를 들어 내부 워크스테이션을 제공하는 클러스터는 도메인 사용자에 매핑하고, 외부 또는 실험실 호스트용 클러스터는 권한이 없는 계정에 매핑할 수 있습니다. 또한 익명 ID가 이미 설정된 클러스터의 익명 ID를 변경하거나 삭제할 때 성공으로 보고되지만 실제 설정은 변경되지 않던 이전 버전의 문제를 수정합니다. 이전 버전에서 업그레이드한 후 각 클러스터는 Ceph에서 실제로 적용 중인 설정을 유지합니다. 각 클러스터의 편집 화면에서 익명 UID/GID를 확인하여 예상한 값인지 확인하세요.

NFSv3 수정 사항

여러 NFS 클러스터에서 NFSv3를 활성화한 경우 이제 각 클러스터가 서로 영향을 주지 않고 자체 구성을 사용하며, NFSv3가 활성화된 NFS 서비스에 호스트를 추가해도 더 이상 NFSv3 설정이 손상되지 않습니다.

시스템 시간: 여러 NTP 소스

UVS Manager는 이전에 단일 NTP 서버를 지원했습니다. 4.19.8에서는 여러 외부 NTP 서버를 지원하며, Ceph MON 노드가 클러스터에 내부 시간 동기화를 제공할지 여부를 선택할 수 있습니다. 내부 및 외부 소스를 함께 사용할 수 있습니다. 여러 개의 독립적인 시간 소스를 사용하면 시스템이 서로 대조하여 확인하고 결함이 있는 시계를 제외할 수 있습니다. 이는 노드 간 일관된 시간에 의존하는 Ceph와 같은 분산 시스템에서 특히 중요합니다. 시간대 설정도 이제 검색 가능한 목록으로 제공됩니다.

모니터링, 보고서 및 알림

대시보드의 SMB 및 NFS 서비스 상태

이제 대시보드의 스토리지 서비스 상태에 SMB 및 NFS가 포함되어 이러한 서비스의 수와 상태를 한눈에 확인할 수 있습니다.

더 정확한 메모리 사용량

이제 대시보드의 메모리 사용량은 Linux 커널에서 보고하는 사용 가능한 메모리를 기준으로 계산되므로 회수 가능한 파일 캐시는 더 이상 사용 중인 메모리로 계산되지 않습니다. 이를 통해 메모리 부족으로 오인할 수 있는 지속적으로 높은 수치가 표시되는 문제를 방지합니다.

보고서 시간 범위 및 시간대

클러스터 보고서는 클러스터의 시간대 기준으로 전체 일수(시작 날짜 00:00부터 종료 날짜 24:00까지)를 계산하며, 시작 시간, 종료 시간 및 시간대를 명확하게 표시합니다. 이제 수동 보고서의 날짜가 예약된 보고서 이메일의 날짜와 일치합니다. 예약된 보고서 이메일에는 보고서의 PDF 버전도 포함되며, PDF의 넓은 표가 잘리지 않고 전체 표시됩니다.

인증 없이 사용하는 SMTP 서버

이제 알림 설정의 SMTP 사용자 이름과 비밀번호는 선택 사항이므로 인증이 필요 없는 내부 메일 릴레이를 사용할 수 있습니다. 이제 수신자를 한 명 이상 지정해야 합니다.

수정 사항

이전 Linux 커널에서 CephFS 마운트

4.19.7에서는 인터페이스에서 생성된 CephX 사용자가 항상 aes256k 키를 받았기 때문에 Linux 7.0 이전의 커널 클라이언트는 HOW TO MOUNT에서 생성된 명령으로 마운트할 수 없었습니다. 4.19.8에서는 HOW TO MOUNT를 통해 기본 사용자를 생성할 때 AES-128 또는 AES-256을 선택할 수 있습니다. AES-128은 7.0 이전의 Linux 커널에서 작동하며, AES-256은 새로운 키 유형을 지원하는 클라이언트용이므로 더 이상 명령어로 호환 가능한 사용자를 생성할 필요가 없습니다. 또한 이제 CephX 인증 페이지에서는 사용자 생성, 편집 또는 삭제에 실패할 때 성공으로 보고하는 대신 Ceph에서 반환한 오류를 표시합니다.

중소기업

이제 SMB 상태 페이지에서 세션과 열린 파일을 닫으면 즉시 적용되며, 다른 노드가 유지 중인 연결에도 작동하고 작업이 실패하면 오류가 표시됩니다. SMB 공유를 추가해도 더 이상 서브볼륨 그룹 루트 디렉터리의 권한을 덮어쓰지 않으며, 이제 공유 추가와 편집 시 권한 처리가 동일합니다. 또한 공유를 편집할 때 도메인 사용자와 그룹을 소유자로 선택할 수 있습니다. LVS VIP를 설정한 후 SMB 클러스터 서비스가 더 이상 반복적으로 재시작되거나 연결이 끊기지 않으며, 이제 LVS VIP를 삭제하면 모든 노드에서 해당 주소가 제거됩니다.

UFW 관리자 방화벽

이제 규칙 가져오기에서 소스 또는 대상이 네트워크(CIDR)인 규칙을 허용하므로 UVS에서 내보낸 파일을 변경 없이 다시 가져올 수 있으며, 가져오기에 실패하면 성공으로 보고하는 대신 오류가 표시됩니다. 대상이 네트워크인 규칙도 이제 편집하거나 내보낼 때 해당 네트워크가 더 이상 사라지지 않으므로, 이전처럼 모든 주소로 범위가 넓어지는 문제가 발생하지 않습니다.

S3 오브젝트 스토리지(RGW)

영역 배치를 추가하고 Bucket Index Pool 옵션을 “기존 풀 사용”에서 다시 “생성”으로 전환하면 이제 선택한 CRUSH 규칙에 따라 새 인덱스 풀이 올바르게 생성됩니다. 새로운 엔드포인트 재설정 작업을 사용하면 Ceph Dashboard와 같은 다른 위치에서 RGW 서비스가 변경된 후 UVS Manager의 영역 및 영역 그룹 엔드포인트를 다시 동기화할 수 있습니다.

시스템 로그

관리 인터페이스 로그가 이제 매일 압축되어 로그 디렉터리가 무제한으로 커지고 시스템 디스크를 가득 채우는 것을 방지합니다.

자주 묻는 질문

▾What are the main updates in UniVirStor 4.19.8?

▾Is my system affected by php2shell?

▾Will services be interrupted during the upgrade?

▾Can Linux kernels older than 7.0 now mount CephFS?

▾How much space do CephFS snapshots use?