Debian php-mongodb 보안 업데이트: trixie 수정 패키지와 점검 방법

Debian trixie는 php-mongodb 보안 패키지를 확인하세요

이번 확인에서 다루는 공개 식별자: CVE-2026-106432, CVE-2026-106436, CVE-2026-112368. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Debian은 2026년 10월 27일 DSA-6589-1을 통해 PHP용 MongoDB 드라이버의 서비스 거부 취약점 3건을 공지했습니다. trixie의 수정 패키지는 2.0.0-1+deb13u2이며, 공식 권고는 php-mongodb 패키지 업그레이드입니다.

이 글은 같은 사건의 원본 공지와 추가 수집 자료를 함께 검토한 글입니다. 실제 게시·서버 변경·패치 적용·침해 확인은 수행하지 않았습니다. 관련 운영 지침은 보안 허브에서도 확인할 수 있습니다.

어떤 환경이 영향을 받나요

MongoDB 서버 자체가 아니라 PHP 드라이버의 BSON 인코딩 경로가 점검 대상입니다. 아래 두 취약점은 MongoDB 서버 연결 없이도 해당 인코딩 조건에서 발생할 수 있으므로, 데이터베이스 인증 설정만으로 영향 여부를 판단하면 안 됩니다.

어떤 환경이 영향을 받나요 — 계속 1

MongoDB CNA의 CVSS 4.0 평가는 CVE-2026-106432가 Low 2.0, CVE-2026-106436이 Medium 6.3입니다. CVSS 3.1은 각각 Low 3.6, Medium 4.8입니다. 이를 Critical이나 원격 코드 실행으로 확대 해석하지 않습니다. 제공 자료에는 실제 악용이나 KEV 등재를 확인하는 근거가 없습니다.

버전과 배포판 패치를 구분하세요

버전과 배포판 패치를 구분하세요 — 계속 2

Debian trixie 패키지는 upstream 버전 숫자가 2.0.0이어도 Debian 보안 수정이 반영된 패키지입니다. upstream 숫자만 비교하지 말고 -1+deb13u2까지 포함한 전체 패키지 버전과 배포판 상태를 확인해야 합니다. 반대로 upstream 수정판 번호만으로 Debian bookworm의 수정 여부를 추정할 수 없습니다.

권장 조치와 처리 우선순위

• trixie의 php-mongodb 사용 환경은 Debian 공식 저장소의 수정 패키지로 업데이트하도록 변경 일정을 잡습니다.
• 인증 없는 입력이 큰 BSON 자료구조 생성으로 이어지는 서비스와 다중 GiB 값을 허용하는 비기본 설정 환경을 먼저 검토합니다.
• PECL 등으로 직접 설치한 확장은 Debian 패키지 업데이트만으로 교체되지 않을 수 있으므로 설치 출처와 실제 로드 버전을 함께 확인합니다.
• bookworm은 제공된 추적기가 취약 상태를 표시하므로, 현재 공식 수정 상태와 지원 경로를 추가 확인합니다. trixie용 패키지를 그대로 적용하는 방식은 제안하지 않습니다.

권장 조치와 처리 우선순위 — 계속 3

제공된 공식 자료에서 확인한 대응은 패키지 업그레이드입니다. 별도의 공식 설정 완화책은 확인되지 않았습니다. 입력 크기와 PHP 메모리 설정을 살피는 것은 노출 조건을 파악하는 점검이며, 특정 제한값을 공식 우회책이나 패치 대체 수단으로 제시하지 않습니다.

읽기 전용 점검표

다음 명령은 운영자가 환경 정보를 조회하기 위한 예시이며, 이 검토에서 실행하지 않았습니다.

cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' 'php*mongodb*'
apt-cache policy php-mongodb
php --ri mongodb
php --ini
php -r 'echo ini_get("memory_limit"), PHP_EOL;'

읽기 전용 점검표 — 계속 4

• 설치된 전체 패키지 버전과 보안 저장소 후보 버전을 비교합니다. apt-cache 결과는 로컬 패키지 목록의 최신성에 영향을 받습니다.
• CLI 결과와 실제 PHP-FPM·웹 서비스의 확장 버전 및 설정이 같은지 내부 운영 정보로 확인합니다. 진단 정보를 외부에 공개하지 않습니다.
• 애플리케이션이 외부 입력으로 큰 문자열이나 자료구조를 BSON으로 인코딩하는지 코드와 기존 설정을 읽어 확인합니다. 대용량 재현 입력은 만들지 않습니다.
• 기존 로그에서 PHP 워커 비정상 종료와 데이터 필드 누락 징후를 확인하되, 이 증상만으로 해당 CVE 악용이나 침해를 단정하지 않습니다.

업데이트 후 정상 업무 확인

패키지 변경 후에는 운영 절차에 따라 장기 실행 PHP 프로세스가 새 확장을 로드하도록 반영하고 실제 서비스 버전을 다시 확인합니다. 정상 크기의 기존 테스트 데이터로 주요 BSON 변환, 데이터 저장·조회, 필수 필드 보존을 검증합니다. PHP 워커 오류와 업무 오류율도 변경 전후로 비교합니다.

이 검증은 업데이트 반영과 정상 업무를 확인하는 절차입니다. 공격 재현이나 침해 부재를 증명하는 테스트는 아닙니다.

근거와 수집 확인일

근거와 수집 확인일 — 계속 5

추가 자료 수집 시각은 한국시간 2026년 11월 3일 06:05:03입니다. 이는 제공된 자동 수집 기록이며 편집자가 원문을 새로 접속해 확인한 시각이 아닙니다. 두 CNA 자료는 선택된 필드의 잘림은 없다고 기록됐지만 원본 전체에는 잘림 표시가 있어, 전체 문서 검증을 완료했다고 보지 않습니다. Ubuntu 출처는 수집 실패로 근거에서 제외했습니다.

남은 불확실성과 편집 계획

CVE-2026-112368의 개별 영향 조건·심각도·upstream 수정 범위, Ubuntu의 수정 상태, bookworm의 수정판은 확인되지 않았습니다. bookworm에 대한 추적기 판정과 CNA의 upstream 시작 버전 차이도 제공 자료만으로 해소할 수 없습니다. 따라서 이 글의 실행 가능한 핵심 권고는 DSA가 명시한 trixie 패키지 업데이트로 한정합니다.

설명 도식은 설치 출처 확인, Debian 전체 패키지 버전 또는 upstream 영향 범위 대조, 수정 적용, 서비스 로드 버전 확인, 정상 업무 검증의 흐름으로 구성합니다. OG 이미지는 PHP 드라이버와 Debian 수정 패키지 번호를 중심으로 계획하며 침해나 Critical 경고를 암시하지 않습니다. 대체 텍스트는 “Debian trixie php-mongodb 수정 버전 2.0.0-1+deb13u2와 업데이트 점검 흐름”으로 준비합니다.

이 글은 자동 수집된 공식 자료를 AI 작성 보조로 정리한 것입니다. 실제 환경의 설치·취약 여부, 패치 완료 및 침해 여부는 별도 운영 확인이 필요합니다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• CVE-2026-112368은 DSA의 수정 대상임은 확인되지만 개별 영향 조건·심각도·upstream 수정 범위는 제공되지 않았다.
• 두 CNA 자료는 선택 필드가 온전하다고 기록됐으나 원본 전체에 잘림 표시가 있다.
• Ubuntu 출처는 수집 실패로 수정 상태를 확인하지 못했다.
• bookworm의 수정판과 CNA upstream 영향 범위 대비 배포판 취약 판정 차이는 추가 확인이 필요하다.
• 실제 악용, 운영 환경의 설치·침해·패치 완료 여부는 확인하지 않았다.