Ubuntu PHP 보안 업데이트: SOAP·mysqlnd 영향 조건과 수정 패키지 점검

Ubuntu PHP 운영자가 확인할 조치

이번 확인에서 다루는 공개 식별자: CVE-2025-1218, CVE-2025-14181. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Ubuntu의 USN-8936-1은 PHP 보안 문제에 대해 릴리스별 수정 패키지와 표준 시스템 업데이트를 안내한다. 이 글은 제공된 자료에서 영향 조건을 구체적으로 대조할 수 있는 SOAP 클라이언트의 CVE-2025-14181과 mysqlnd의 CVE-2025-1218을 중심으로 대응을 정리한다. USN에는 이 밖의 PHP 취약점도 포함되어 있으므로 업데이트 범위는 두 확장에만 한정하지 않는다.

공식 등급은 SOAP 취약점이 Medium, mysqlnd 취약점이 Low다. 등급과 별개로 수정 패키지가 확인되므로 운영 환경의 사용 조건을 점검하고 업데이트를 계획할 수 있다. 제공 자료만으로 실제 악용이나 침해 발생은 확인되지 않는다.

영향 조건과 대응 우선순위

영향 조건과 대응 우선순위 — 계속 1

PHP가 설치되어 있다는 사실만으로 두 취약점에 모두 노출됐다고 판단할 수 없다. 실제 웹 서비스에서 사용하는 PHP 실행 환경, 확장, 접속 대상을 함께 확인해야 한다.

PHP 업스트림 버전

제공된 PHP CNA 자료는 두 CVE 모두 다음 계열별 영향 범위를 명시한다. mysqlnd 공급사 권고는 수정 버전도 직접 제시한다. SOAP의 표에 기재한 경계는 CNA의 영향 범위 종료값이며, 별도 공급사 수정 릴리스 본문은 제공되지 않았다.

PHP 업스트림 버전 — 계속 2

이 범위를 근거 없이 다른 계열로 확장하지 않는다. Ubuntu 패키지는 아래 배포판 공지를 기준으로 별도로 판정한다.

Ubuntu 수정 패키지와 backport

Ubuntu는 보안 수정을 기존 버전 계열에 backport할 수 있다. 따라서 php -v에 표시되는 업스트림 숫자가 위 경계보다 작다는 이유만으로 패치 누락이라고 판단하면 안 된다. Ubuntu 릴리스와 패키지 전체 버전을 USN 표에 대조해야 한다.

Ubuntu 수정 패키지와 backport — 계속 3

표의 버전은 제공된 USN에서 해당 계열의 CLI·common·FPM·SOAP 등 패키지에 제시된 값이다. 20.04 이상 다섯 릴리스에는 mysql 패키지 수정값도 확인된다. Ubuntu는 CVE-2025-1218을 20.04, 22.04, 24.04, 26.04, 26.10에서만 처리했다고 명시한다. 그 밖의 릴리스에서 mysqlnd 문제가 수정됐거나 영향이 없다고 추정하지 않는다.

16.04는 일부 패키지에 7.0.33-0ubuntu0.16.04.16+esm21과 Ubuntu Pro Legacy Support 조건이 보이지만 제공 원문이 패키지 표 중간에서 잘렸다. 14.04 수정 표도 제공되지 않았다. 두 릴리스의 전체 패키지 대응표는 추가 확인이 필요하다. PPA·자체 빌드·컨테이너에 Ubuntu 공식 패키지의 수정 판정을 그대로 적용하지 않는다.

읽기 전용 점검표

• 운영체제 릴리스와 설치된 PHP 패키지의 전체 버전을 기록한다.
• CLI와 웹 서버의 PHP 버전·설정이 같은지 확인한다. CLI 결과만으로 FPM이나 Apache 모듈 상태를 확정하지 않는다.
• 실제 서비스에서 SOAP와 mysqlnd를 사용하는지 확인한다.
• 애플리케이션 설정에서 SOAP·MySQL 접속 대상과 변경 권한을 확인한다. 접속 문자열의 암호나 토큰은 보고서에 복사하지 않는다.
• Ubuntu Pro가 필요한 릴리스는 해당 저장소 이용 가능 상태를 확인한다.
• 자체 빌드와 컨테이너는 호스트 패키지와 별도로 목록화한다.

읽기 전용 점검표 — 계속 4

다음 명령은 로컬 정보를 조회하며 업데이트를 수행하지 않는다. 출력에는 운영 정보가 포함될 수 있으므로 외부 공유 전에 검토한다.

cat /etc/os-release
php -v
php --ini
php -m
dpkg-query -W 'php*' 'libapache2-mod-php*' 'libphp*-embed'
apt-cache policy php8.5-common php8.3-common php8.1-common php7.4-common

읽기 전용 점검표 — 계속 5

마지막 명령의 패키지 이름은 점검 대상 계열에 맞게 선택한다. 이 조회 결과만으로 실행 중인 모든 프로세스가 수정 코드를 사용한다고 확정할 수는 없다.

공식 대응과 업데이트 후 확인

Ubuntu가 제시한 대응은 표준 시스템 업데이트로 해당 릴리스의 수정 패키지를 적용하는 것이다. 설치된 실행 패키지와 관련 확장을 함께 검토하고, 조직의 변경 절차에 따라 적용한다. 제공 자료에는 두 취약점을 해결하는 별도 설정 변경이나 공식 임시 완화책이 확인되지 않는다. mysqlnd의 신뢰된 DB 접속 조건은 노출 판단 근거이며 패치를 대신하는 보장으로 해석하지 않는다.

• 업데이트 후 패키지 전체 버전을 USN 표와 다시 대조한다.
• 서비스 운영 절차에 따라 실행 중인 PHP 프로세스가 갱신된 코드를 사용하는지 확인한다.
• 정상 SOAP 연동과 응답 처리, MySQL 연결·조회·준비된 문 실행 등 기존 업무 흐름을 확인한다.
• PHP 오류 로그, FPM·웹 서버 상태와 업무 오류율을 확인한다.
• 실패 시 복구 절차를 적용하고 미해결 서비스와 패키지를 기록한다.

공식 대응과 업데이트 후 확인 — 계속 6

이 문서는 실제 업데이트, 공격 재현, 침해 조사 또는 정상 업무 시험을 수행한 결과가 아니다.

근거 수집일과 남은 불확실성

Ubuntu USN-8936-1의 공지일은 제공 본문상 2026년 10월 19일이며, 원본 수집 메타데이터는 2026년 10월 25일 22:17 UTC다. 추가 PHP mysqlnd 공급사 권고, CVE-2025-1218 CNA 자료, CVE-2025-14181 CNA 자료의 수집·확인 시각은 2026년 11월 1일 03:32 UTC로 기록되어 있다. 이는 제공된 자동 수집 기록이며 편집자가 원문에 새로 접속한 시각은 아니다.

추가 자료는 원문 전체가 잘림으로 표시되어 있지만 선정된 버전·설명 구간은 잘리지 않은 것으로 기록되어 있다. 이 글은 실제 제공된 구간만 근거로 삼았다. Ubuntu 원문은 수정 표 후반이 잘려 구형 릴리스 전체를 확정할 수 없다.

mysqlnd의 CVSS는 GitHub 공급사 권고에서 Low 3.1, CNA에서 Low 3.4로 다르다. 단일 점수로 합치지 않는다. SOAP의 임의 코드 실행 가능성은 Ubuntu 설명에 근거하며, 실제 악용이나 모든 설치에서의 발생을 뜻하지 않는다.

이 글은 동일 사건의 원본과 후속 공식 자료를 함께 검토한 결과다. 자동 수집 자료를 AI 작성 보조로 정리했으며 게시나 서버 변경은 수행하지 않았다. 운영별 판단 기준은 보안 가이드 허브와 함께 참고할 수 있다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• Ubuntu 원문이 패키지 표 후반에서 잘려 16.04 전체 패키지와 14.04 수정 버전을 확정할 수 없다.
• CVE-2025-1218은 공급사 권고와 CNA의 CVSS 점수가 각각 3.1과 3.4로 다르며 등급은 모두 Low다.
• SOAP의 별도 공급사 수정 릴리스 본문은 제공되지 않았다. 업스트림 영향 범위는 CNA, Ubuntu 수정 패키지는 USN을 근거로 구분했다.
• 추가 공식 문서의 전체 원문은 잘림으로 표시되어 있어 제공된 선정 구간 밖의 내용은 확인하지 않았다.
• 실제 설치 상태, 악용·침해 여부, 패치 적용 및 업무 정상화는 확인하지 않았다.