위협 피드

위험#CVE-2026-119618 #Apache HTTP Server #Apache #mod_http2 #HTTP/2 #원격 코드 실행 #힙 손상 #웹 서버

CVE-2026-119618 — Apache HTTP Server mod_http2의 힙 손상과 원격 코드 실행(2.4.55–2.4.70 영향, 2.4.71에서 수정): 해설과 대책

CVE-2026-119618: 원격 코드 실행으로 이어질 수 있는 Apache mod_http2 결함(2.4.55–2.4.70). 2.4.71에서 수정. 실제 악용 보고 없음, Red Hat은 공개 연구를 언급.

게시 2026-11-13 업데이트 2026-11-13 최종 확인 2026-11-13 7분 읽기

이 페이지에서

원격 코드 실행(RCE)으로 이어질 수 있는 Apache HTTP Server mod_http2의 취약점 해설입니다. 무슨 일이 일어나는지, 누가 영향을 받는지, 어떻게 대응해야 하는지를 방어하는 쪽의 관점에서, 공격 절차 없이 설명합니다.

권고 요약 — ADVISORY

CVE: CVE-2026-119618 (Apache HTTP Server: mod_http2: assign_headers의 힙 손상과 RCE)
심각도: Apache 평가: critical(가장 높은 등급). Apache의 권고와 CVE.org 레코드에 CVSS 점수 없음(Red Hat은 자체적으로 9.8을 부여)
유형: 공유 자원의 적절한 동기화 없는 동시 사용(CWE-362). RCE로 이어지는 힙 손상
영향 대상: Apache HTTP Server 2.4.55–2.4.70. GitHub의 mod_h2: 2.0.8–2.0.42
수정: Apache HTTP Server 2.4.71(2026년 11월 11일 출시)
함께 수정: CVE-2026-106023(mod_md, important), CVE-2026-109163(mod_vhost_alias, low)
악용: 실제 악용 보고 없음(Red Hat은 공개된 연구가 공격을 보였다고 밝힘). CISA KEV 11월 10일판에는 없음
회피책: Apache의 권고에는 없음

critical

Apache 평가(CVSS 없음)

RCE

원격 코드 실행

2.4.71

수정된 버전(11월 11일)

언급 없음

실제 악용 / 회피책

HTTP/2가 켜진 Apache는 2.4.71로 업데이트하세요. 실제 악용은 보고되지 않았지만 연구가 공격을 보였고 등급은 가장 높습니다

Apache는 이 mod_http2 결함을 critical로 평가하며 RCE로 이어질 수 있다고 밝힙니다. 지금까지 실제 악용은 보고되지 않았고 권고에 회피책은 없습니다. 하지만 Red Hat은 공개된 연구가 HTTP/2가 켜진 기본 설정 서버에 대한 현실적인 공격을 보였다고 밝힙니다. 갓 공개되었고 수정 코드도 공개되어 있으니 되도록 빨리 2.4.71로 업데이트하세요.

Apache 버전을 확인하세요. 2.4.55–2.4.70이 영향을 받을 수 있습니다.
HTTP/2가 켜져 있는지 확인하세요(Red Hat은 HTTP/1.1만 쓰는 서버는 취약하지 않다고 밝힙니다).
2.4.71이나 배포판의 수정된 패키지로 업데이트하세요.
아직 수정이 나오지 않은 곳(예: Ubuntu)은 벤더 페이지를 계속 확인하세요.

버전 문자열만으로는 충분하지 않습니다

Debian, Red Hat 등은 버전 번호를 바꾸지 않고 수정을 백포트하기도 합니다. 패치된 시스템에서도 apache2 -v나 httpd -v는 오래된 버전으로 보일 수 있습니다. 반대로 버전 문자열을 믿고 안심하지도 마세요. 패키지 changelog나 배포판의 권고를 확인하세요.

어떤 취약점인가

Apache의 권고에 따르면 mod_http2의 assign_headers()에서 공유 자원이 적절한 동기화 없이 동시에 사용되어 힙 손상이 일어나고, 이는 원격 코드 실행으로 이어질 수 있습니다. CWE-362로 분류됩니다.

Apache의 권고는 악용의 구체적인 조건을 밝히지 않으며, 이 사이트도 그것을 추측하지 않습니다.
두 건의 별도 보고로 발견되었습니다. AI 기반 코드 분석 도구의 개발자가 2026년 10월 26일에, 클라우드 제공업체의 보안 연구팀이 11월 3일에 Apache 보안팀에 보고했습니다.
Apache는 11월 11일 수정을 2.4 브랜치에 병합하고 같은 날 2.4.71을 출시했습니다.
GitHub에서 배포되는 독립형 mod_h2도 영향을 받습니다(2.0.8–2.0.42). Apache에 포함된 mod_http2와 별도로 설치했다면 그것도 확인하세요.

영향 범위

항목	내용
제품	Apache HTTP Server(mod_http2)
영향받는 버전	2.4.55–2.4.70
수정된 버전	2.4.71
독립형 mod_h2(GitHub)	2.0.8–2.0.42이 영향받음
심각도	Apache: critical(CVSS 없음). Red Hat은 자체적으로 9.8을 부여
회피책 / 완화책	Apache의 권고에는 없음

2.4.54 이하는 권고의 범위 밖입니다. 오래된 버전에는 다른 누적된 취약점이 있으므로 어쨌든 업데이트를 고려하세요.
권고는 HTTP/2가 켜진 구성만 영향을 받는다고 밝히지 않습니다. 다음 절의 정보는 Red Hat의 것입니다.

같은 2.4.71에서 수정된 나머지 두 문제

CVE	설명	Apache 평가	영향받는 버전
CVE-2026-106023	mod_md: NULL 포인터 역참조로 자식 프로세스가 충돌	important	2.4.30–2.4.70
CVE-2026-109163	mod_vhost_alias: 1바이트 스택 버퍼 덮어쓰기(CVE-2026-63292 수정 뒤 남은 문제)	low	2.4.69와 2.4.70

2.4.71로 업데이트하면 세 가지 모두 수정됩니다.

배포판별 상태(2026년 11월 13일 기준)

벤더	상태
Debian	보안 트래커는 bookworm(12)이 2.4.71-1~~deb12u1, trixie(13)가 2.4.71-1~~deb13u1에서 수정된 것으로 나열
Ubuntu	모든 릴리스가 "Needs evaluation"이며 수정 버전 없음. 우선순위: High
Red Hat	RHEL 9와 10은 영향받으며 Important 등급. RHEL 8 이하는 영향받지 않음. 절차는 Red Hat의 보안 공지 RHSB-2026-017 참조

Red Hat은 HTTP/2 스트림마다 별도의 메모리 할당자가 주어지기 때문에(Red Hat에 따르면 스트림마다 다른 할당자에서 할당하면 악용이 어려워짐) RHEL 9와 10이 Critical이 아니라 Important 등급이라고 설명합니다.
이 표는 날짜가 있는 확인 결과이며 바뀔 수 있습니다. 환경에 맞는 최신 내용은 각 벤더의 페이지에서 확인하세요.

영향 여부 확인 방법

Apache 버전 확인

apache2 -v(Debian 계열)나 httpd -v(RHEL 계열)를 실행하세요. 2.4.55–2.4.70이 영향을 받을 수 있습니다. 배포판 패키지는 같은 버전 번호로 수정을 포함할 수 있으므로, 패키지 changelog를 벤더의 보안 정보와 대조하세요.

HTTP/2가 켜져 있는지 확인

설정에서 Protocols h2나 h2c를 찾고, http2 모듈이 로드되어 있는지(apachectl -M의 출력) 확인하세요. Red Hat에 따르면 HTTP/2가 켜진 서버는 영향을 받고 HTTP/1.1만 쓰는 서버는 취약하지 않습니다. 이는 Red Hat의 설명이며 Apache의 권고는 그런 구분을 하지 않습니다.

Apache가 동작하는 모든 곳을 찾기

웹 서버 외에 제품(관리 콘솔, 어플라이언스)에 내장된 Apache도 찾아보세요. 목록을 유지하는 방법은 자산 목록 체크리스트를 보세요.

오늘 해야 할 일

2.4.71이나 배포판의 수정된 패키지로 업데이트(최우선)

직접 빌드한 Apache는 2.4.71로 옮기세요. 패키지로 설치했다면 벤더 페이지에서 수정된 패키지를 확인하고 업데이트하세요. 업데이트 후 Apache를 재시작하거나 reload하고, 먼저 apachectl configtest로 설정 문제를 잡으세요.

아직 수정이 없는 곳은 HTTP/2가 필요한지 판단

Apache의 권고에는 회피책이 없습니다. 이 사이트의 자체 보충으로, HTTP/2를 쓸 이유가 적다면 Protocols 설정에서 h2와 h2c를 빼고 HTTP/1.1만 쓰는 것이 선택지입니다. 권고에 명시된 조치가 아니며 성능과 클라이언트에 영향을 줄 수 있으므로 테스트한 뒤 결정하세요. 업데이트할 수 있게 되면 되돌려도 됩니다.

Apache 앞단에 무엇이 있는지 파악

로드 밸런서나 CDN이 HTTP/2를 종단하고 백엔드와는 HTTP/1.1로 통신한다면, 백엔드 Apache는 HTTP/2를 전혀 쓰지 않을 수 있습니다. 구성에서 어느 구간이 HTTP/2를 쓰는지 확인하세요.

이상 징후 확인

실제 악용은 보고되지 않았지만, 업데이트 전에 이상한 일이 없었는지 확인하세요. Apache 자식 프로세스가 반복해서 충돌하는지, 낯선 파일이나 프로세스가 없는지 살펴보세요. 웹사이트나 서버가 해킹당했는지 확인하는 방법을 보세요.

악용 상황

Apache의 권고는 실제 악용을 언급하지 않습니다.
CISA KEV 카탈로그의 11월 10일판에는 없습니다.
CVE.org 레코드에는 CVSS 점수가 없습니다. 유일한 심각도는 Apache의 평가(critical)입니다.
보고는 10월 26일과 11월 3일에 들어왔고 11월 11일에 공개되었습니다. 공개 전에 악용되었는지는 공개된 정보로 확인할 수 없었습니다.
Red Hat은 공개된 연구가 HTTP/2가 켜진 기본 설정 서버에 대한 현실적인 공격을 보였다고 밝힙니다(실제 악용 보고가 아닙니다).
실제 공격의 규모나 공격 주체에 대한 공개 정보는 확인할 수 없었습니다.

출처

Apache HTTP Server Project — Apache HTTP Server 2.4 vulnerabilities (2.4.71의 수정 세 건, 영향받는 버전, 보고와 수정 날짜)
CVE.org — CVE-2026-119618 (2026년 11월 11일 공개. CWE-362, 심각도 critical, CVSS 없음)
Debian — Debian Security Tracker CVE-2026-119618 (bookworm과 trixie의 수정 버전)
Ubuntu — CVE-2026-119618 (평가 필요, 우선순위 High)
Red Hat — CVE-2026-119618 (RHEL 9와 10 영향받음, Important)
CISA KEV — Known Exploited Vulnerabilities Catalog (카탈로그의 11월 10일판에는 없음)

HTTP/2를 끄는 것은 이 사이트가 일반적인 조치로 적어 둔 것이며 Apache의 권고에 명시된 회피책이 아닙니다. 최종 확인: 2026년 11월 13일.

이어서 읽기

FAQ

QCVE-2026-119618은 무엇인가요?

Apache HTTP Server의 HTTP/2 모듈 mod_http2의 취약점입니다. 공유 자원을 적절한 동기화 없이 동시에 사용하는 결함(CWE-362)이며, Apache의 권고는 원격 코드 실행(RCE)으로 이어질 수 있다고 밝힙니다. Apache는 가장 높은 등급인 critical로 평가했지만 CVSS 점수는 주지 않았습니다.

Q영향받는 버전과 수정은 무엇인가요?

Apache의 권고에 따르면 Apache HTTP Server 2.4.55–2.4.70이 영향을 받으며, 2.4.71(2026년 11월 11일 출시)이 수정합니다. GitHub에서 배포되는 독립형 mod_h2는 2.0.8–2.0.42가 영향을 받습니다.

QHTTP/2를 쓰지 않으면 안전한가요?

Apache의 권고는 HTTP/2가 켜진 서버만 영향을 받는다고 밝히지 않습니다. Red Hat의 페이지는 Protocols 지시어로 HTTP/2(h2 또는 h2c)가 켜진 서버가 영향을 받고 HTTP/1.1만 쓰는 서버는 취약하지 않다고 밝힙니다. 자신의 설정과 로드된 모듈을 확인하세요.

Q아직 업데이트할 수 없다면 회피책이 있나요?

Apache의 권고에는 회피책이나 완화책이 없습니다. 이 사이트의 자체 보충으로, HTTP/2가 필요하지 않다면 업데이트할 때까지 끄는 것(HTTP/1.1만 사용)이 일반적인 선택지입니다. 권고에 명시된 조치가 아니며 테스트가 필요합니다.

Q이미 악용되고 있나요?

실제 악용은 보고되지 않았고, CISA KEV(Known Exploited Vulnerabilities) 카탈로그의 11월 10일판에도 없습니다. 하지만 Red Hat은 공개된 연구가 HTTP/2가 켜진 기본 설정 서버에 대한 현실적인 공격을 보였다고 밝힙니다. 등급도 critical이고 수정 코드가 공개되어 있으니 되도록 빨리 업데이트하세요.

QDebian, Ubuntu, RHEL은 수정되었나요?

2026년 11월 13일 기준 Debian 보안 트래커는 bookworm(12)과 trixie(13)가 2.4.71-1 보안 업데이트에서 수정된 것으로 나열합니다. Ubuntu는 모든 릴리스를 Needs evaluation으로 표시하며 수정 버전은 없습니다. Red Hat은 RHEL 9와 10이 영향을 받고(Important 등급) RHEL 8 이하는 받지 않는다고 밝힙니다. 상황이 빠르게 바뀌므로 각 벤더의 페이지를 확인하세요.