Apache HTTP Server에서 치명적 RCE 취약점 발견, 클라우드 환경 64%가 위험
Critical RCE Vulnerability in Apache HTTP Server
Apache HTTP Server의 HTTP/2 모듈(mod_http2)에서 경쟁 조건으로 인한 치명적 RCE 취약점(CVE-2026-119618)이 발견됐다. Anthropic과 Google Cloud 취약점 연구팀이 독립적으로 발견했으며, 원격 비인증 공격자가 힙 메모리를 손상시켜 임의 코드를 실행할 수 있다. Wiz 데이터에 따르면 클라우드 환경의 64%가 취약한 리소스를 보유하고 51%는 공개 노출 상태다. 현재까지 실제 악용 사례는 보고되지 않았다. Apache HTTP Server 2.4.71 이상으로 업그레이드하고, 불가능할 경우 HTTP/2를 비활성화해야 한다.
성공적으로 악용될 경우, 원격의 비인증 공격자가 힙 메모리를 손상시켜 임의 코드 실행(RCE)을 달성할 수 있습니다.
HN 토론
186- jamesy0ung
패치는 https://github.com/apache/httpd/commit/5ed39287660daacd1233c... 같은 것 같네요.
- rurcliped
Apache httpd를 일시적으로 꺼두는 분들을 위해, 종종 놓치는 단계가 하나 있습니다. 바로 certbot용 cron job이나 systemd timer인데요. 이게 httpd를 재시작시켜서 계속 실행 중인 상태로 남겨둘 수 있습니다. 다시 말해, Let's Encrypt를 흔히 쓰는 환경에서는 "systemctl disable --now apache2" 같은 표준 안내만으로는 httpd가 꺼진 상태로 유지되지 않습니다.
- throooooo
저는 Linux sysadmin 경험이 많지만 Apache는 10년 넘게 건드려본 적이 없습니다. 지금쯤이면 대부분 nginx나 다른 솔루션을 쓴다고 생각했거든요.
- ankit9673
새로운 취약점이 나올 때마다 우리가 보안 코드를 그렇게 잘 작성하지는 못한다는 생각이 듭니다.
- thehamkercat
> CVE-2026-111497이란 무엇인가요?
> CVE-2026-119618은 ....를 포함하는 치명적이고 심각도가 높은 취약점입니다.
CVE가 두 개인가요? (111497 != 11968)
- account42
> Apache HTTP Server의 HTTP/2 모듈(mod_http2)에서
지금 돌이켜보면 HTTP/2는 실수였던 것 같습니다. 이론상의 이점이 추가된 복잡성을 정당화하지 못합니다. 그렇게 서둘러 도입되었어서는 안 됐던 게 분명합니다.
- neurostimulant
아마 대부분의 Apache/PHP 설치 환경은 mpm_prefork를 사용하고 있어서 이 취약점의 영향을 받지 않을 겁니다.
- klaas-