Apache HTTP Server HTTP/2 환경의 치명적 mod_http2 결함, 원격 코드 실행 가능

무슨 일이 있었나

2026년 11월 11일 Apache HTTP Server 프로젝트는 CVE-2026-119618을 공개하고 버전 2.4.71을 출시했습니다. 프로젝트는 이 결함을 치명적으로 평가합니다. 결함은 HTTP/2 모듈 mod_http2의 assign_headers() 함수에 있습니다. 요청이 동시에 실행될 때 공유 자원의 동기화가 올바르게 이루어지지 않습니다. 프로젝트의 보안 권고문에 따르면 이로 인해 힙 손상이 발생하며, 이는 원격 코드 실행으로 이어질 수 있습니다.

Red Hat은 이 결함에 CVSS 척도 기준 10점 중 9.8점을 부여했습니다. 서버에 접근할 수 있는 공격자는 인증 없이 공격할 수 있으며 서버 프로세스를 완전히 장악할 수 있다고 설명합니다. Red Hat은 mod_http2가 활성화된 기본 구성에서 신뢰할 만한 익스플로잇이 공개 연구를 통해 입증되었다고도 밝혔으나, 해당 연구는 명시하지 않았습니다. 보안 업체 Wiz는 이후 사용 가능한 익스플로잇이 없으며 공격 사례도 보고되지 않았다고 발표했습니다. 이 취약점은 CISA의 악용된 취약점 목록에 포함되어 있지 않으며, 저희가 확인한 어떤 출처도 공격 사례를 보고하지 않았습니다.

버전 2.4.71은 다음 두 결함도 함께 수정합니다.

• CVE-2026-106023 (중요도 '중요'): mod_md의 충돌
• CVE-2026-109163 (중요도 '낮음'): mod_vhost_alias의 1바이트 스택 덮어쓰기

영향을 받는 대상

• HTTP/2가 활성화된 Apache HTTP Server 2.4.55~2.4.70. HTTP/2는 Protocols 지시문에 h2(TLS 기반 HTTP/2) 또는 h2c(평문 TCP 기반 HTTP/2)가 포함된 경우에만 동작합니다. 이 지시문은 서버 전체 또는 개별 가상 호스트에 설정할 수 있습니다.
• 앞선 HTTP/2 결함 CVE-2026-23918을 해결하기 위해 2.4.67을 설치한 서버. 2.4.67부터 2.4.70까지 모든 버전이 해당하며, 이 서버들은 여전히 영향을 받습니다.
• 단독 빌드 모듈(GitHub의 mod_h2), 버전 2.0.8~2.0.42. 아직 수정된 mod_h2 릴리스가 없으며, 프로젝트 저장소는 보관 처리되었습니다.

다음 시스템은 영향을 받지 않습니다.

• 2.4.55 이전 버전의 Apache.
• 어떤 Protocols 지시문에서도 h2와 h2c가 활성화되지 않은 서버.
• 취약한 코드를 포함하지 않는 Red Hat Enterprise Linux 6, 7, 8.

2026년 11월 12일 기준 배포판 패키지 현황은 다음과 같습니다.

• RHEL 9: mod_http2-2.0.26-7.el9_9.1(RHSA-2026:98981)에서 수정되었습니다.
• RHEL 10: mod_http2-2.0.29-5.el10_3.1(RHSA-2026:98978)에서 수정되었습니다.
• RHEL EUS 및 SAP 릴리스: 수정 사항은 별도의 권고문으로 제공됩니다. Red Hat은 RHEL 9와 10에서 빌드 구성상 공격이 훨씬 어렵다는 이유로 이 결함의 심각도를 '치명적'이 아닌 '중요'로 평가합니다.
• Red Hat JBoss Core Services 및 Red Hat Hardened Images: 영향을 받는 것으로 나열되어 있으며, 아직 수정 사항이 없습니다.
• Debian: unstable(sid)은 apache2 2.4.71-1에서 수정되었습니다. Debian 추적 시스템은 bookworm, trixie, forky를 취약한 상태로 나열하고 있으며, 아직 수정된 패키지가 없습니다.
• Amazon Linux 2, Amazon Linux 2023, Amazon Linux 2027 Preview: 수정이 진행 중입니다.
• Ubuntu: 아직 상태가 발표되지 않았습니다.

자체 Apache 빌드를 제공하는 호스팅 패널 및 기타 제품은 빌드 버전이 이 범위에 해당하고 HTTP/2가 활성화되어 있으면 영향을 받습니다. 해당 제품의 상태는 제조사의 권고문에서 확인하십시오.

지금 해야 할 일

1. apachectl -v 또는 httpd -v로 Apache 버전을 확인하십시오. 그다음 HTTP/2가 활성화되어 있는지 확인하십시오(다음 섹션 참조).
2. 업데이트하십시오.
   • 직접 빌드하거나 upstream Apache를 사용하는 경우: 2.4.71로 업그레이드하십시오.
   • RHEL 9 및 10: 예를 들어 dnf update mod_http2로 업데이트를 설치하십시오.
   • 기타 배포판: 배포판이 수정된 apache2 또는 httpd 패키지를 공개하는 즉시 설치하십시오. 아래에 연결된 제조사 권고문을 확인하십시오.
3. Apache를 완전히 재시작하십시오. 예를 들어 systemctl restart httpd 또는 systemctl restart apache2를 실행하십시오. 완전한 재시작으로 업데이트된 모듈이 로드됩니다. 이후 사이트가 정상적으로 응답하는지 확인하십시오.
4. 아직 업데이트할 수 없는 경우: Apache 권고문은 우회 방법을 제시하지 않습니다. Wiz는 Protocols http/1.1만 남기고 모든 Protocols 지시문에서 h2와 h2c를 제거할 것을 권장합니다. 서버 전체 설정과 모든 가상 호스트를 확인하십시오. 그다음 apachectl configtest로 구성을 테스트하고 Apache를 재시작하십시오. 클라이언트는 HTTP/1.1로 전환됩니다. 이 방법은 단독 mod_h2 빌드를 사용하는 서버에 현재로서는 유일한 보호 수단이기도 합니다.
5. 다른 서버를 점검하십시오. 리버스 프록시와 고객용으로 운영하는 서버를 포함하여, Apache 2.4.55 이상을 실행하고 HTTP/2가 활성화된 서버가 있는지 확인하십시오.

영향 여부 확인 방법

• 버전: apachectl -v(또는 httpd -v)를 실행하십시오. 2.4.55~2.4.70 버전은 영향을 받습니다. 배포판 패키지의 경우 배포판마다 고유한 버전 번호를 사용하므로, 위에 나열된 수정 패키지 버전과 비교하십시오.
• 모듈 로드 여부: apachectl -M 2>/dev/null | grep http2는 mod_http2가 로드되었는지 보여줍니다.
• HTTP/2 활성화 여부: grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null를 실행하고 h2 또는 h2c가 있는지 확인하십시오. 설정 파일이 들어 있는 다른 디렉터리도 포함하십시오.
• 외부에서 확인: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n'는 사이트가 HTTP/2로 응답하면 2를 출력합니다.

어느 서버의 Protocols 지시문에도 h2 또는 h2c가 없다면 이 결함의 영향을 받지 않습니다. 다만 이 업데이트는 다른 두 결함도 함께 수정하므로, 정기 점검 때 버전 2.4.71 또는 배포판의 업데이트를 설치하시기 바랍니다.

출처

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html