CVE-2026-119618: 심각한 Apache HTTP/2 결함으로 원격 코드 실행 가능

Apache는 Apache HTTP Server의 mod_http2 모듈에서 발견된 치명적인 원격 코드 실행 취약점인 CVE-2026-119618을 해결하는 긴급 보안 업데이트를 발표했습니다. 이 결함은 Apache HTTP Server 버전 2.4.55부터 2.4.70까지 영향을 미치며, 인증되지 않은 원격 공격자가 힙 메모리를 손상시켜 취약한 서버에서 임의의 명령을 실행할 수 있는 가능성을 제공합니다.

이 취약점은 Apache가 동시 HTTP/2 요청을 처리할 때 부적절한 동기화로부터 발생합니다. 여러 스레드가 충분한 조정 없이 공유 자원에 접근할 수 있으며, 이는 한 스레드가 다른 스레드가 사용 중인 메모리를 수정할 수 있는 경합 조건을 만듭니다. 성공적인 공격은 서버의 내부 힙을 손상시킬 수 있으며, 궁극적으로 원격 코드 실행으로 이어질 수 있습니다.

HTTP/2가 활성화된 Apache 배포판만이 알려진 공격 경로에 노출됩니다. HTTP/1.1 전용으로 설정된 서버는 취약한 mod_http2 기능에 도달하지 않습니다. HTTP/2는 Apache의 Protocols 지시문을 통해 TLS 연결은 h2, 평문 HTTP/2는 h2c를 사용하여 활성화할 수 있습니다.

영업부에 문의하세요

Apache는 2026년 11월 11일 출시된 HTTP Server 2.4.71에서 취약점을 해결했습니다. GitHub 버전 2.0.8부터 2.0.42까지의 모드_h2 단독 릴리스도 영향을 받습니다. Apache의 공식 권고에는 별도로 출시된 수정된 모드_h2 버전이 현재 식별되지 않았습니다.

Red Hat은 일반 평가에 따라 이 취약점에 CVSS 3.1 점수 9.8점을 부여했으며, 인증이나 사용자 상호작용 없이 네트워크 접근 가능한 저복잡성의 익스플로이트를 요구한다고 말합니다. Red Hat은 또한 연구에서 mod_http2가 활성화된 기본 구성 서버에 대한 신뢰할 만한 익스플로이트가 입증되었다고 언급합니다.

그러나 2026년 11월 12일 현재 Apache나 검토된 보안 보고서에서는 실세계 공격에서의 악용 사례를 문서화하지 않았습니다. Wiz 또한 출판 당시 알려진 공격 사례가 없다고 보고했습니다. 취약점이 원격으로 접근 가능하고 기술적인 원인이 공개되었기 때문에 조직은 수정 작업을 우선시해야 합니다.

조직은 SOC Prime의 AI 네이티브 탐지 인텔리전스 플랫폼을 통해 새로운 익스플로이트에 대한 방어를 강화할 수 있으며, 보안 팀이 위협 인텔리전스를 활용하고 SIEM, EDR, XDR, 데이터 레이크 환경 전반에서 탐지 엔지니어링과 위협 사냥을 가속화할 수 있도록 지원합니다.

HTTP/2가 활성화된 취약한 인터넷 향 Apache 서버를 식별하고 Apache 충돌, 비정상적인 하위 프로세스, 예기치 않은 명령 실행, 새로 생성된 파일, 비정상적인 아웃바운드 네트워크 연결과 의심스러운 HTTP/2 활동을 상호 연관시켜 CVE-2026-119618을 탐지하세요.

모든 CVE에 대한 탐지 콘텐츠가 항상 제공되는 것은 아닙니다. 현재 적용 가능성을 확인하려면 SOC Prime Platform을 확인하세요. 관련 탐지가 아직 제공되지 않았다면 새로운 위협 인텔리전스와 탐지 콘텐츠가 지속적으로 추가되므로 다시 확인하세요.

CVE-2026-119618 Analysis

CVE-2026-119618은 취약한 mod_http2 기능이 존재하고 HTTP/2가 활성화된 Apache HTTP Server 버전 2.4.55부터 2.4.70까지 영향을 미칩니다. 단독 모드_h2 프로젝트는 버전 2.0.8부터 2.0.42까지 영향을 받습니다. Apache는 이 문제를 심각한 것으로 분류하고 CWE-362, 부적절한 동기화를 사용한 공유 자원 동시 실행 문제로 매핑합니다.

이 취약점은 Apache의 HTTP/2 처리에 사용되는 assign_headers() 함수에 존재합니다.

HTTP/2는 단일 연결을 통해 여러 스트림이 동시에 작동할 수 있기 때문에 HTTP/1.1와 크게 다릅니다. 그러므로 Apache의 mod_http2 모듈은 요청을 처리하고 HTTP/2 스트림을 동시에 관리하기 위해 여러 스레드를 사용합니다.

이 문제는 이러한 스레드가 충분한 동기화 없이 공유 메모리와 상호작용할 때 발생합니다. Red Hat의 기술 평가에 따르면, HTTP/2 스트림 작업자는 공유, 잠금 없는 할당자를 통해 연결 스레드가 소유한 메모리 쓸 수 있습니다.

공격자가 제어하는 타이밍에 따라 동시 액세스가 힙을 손상시킬 수 있습니다.

힙 손상 취약점은 메모리 레이아웃과 공격자의 통제에 따라 다른 결과를 초래할 수 있습니다. 실패한 익스플로잇은 Apache 작업 프로세스를 충돌시킬 수 있으며, 충분히 제어된 손상은 프로그램 상태를 수정하거나 실행을 재지정할 수 있습니다.

Red Hat은 성공적인 익스플로잇이 인증되지 않은 공격자가 Apache HTTP Server 프로세스의 권한으로 임의의 명령을 실행할 수 있다고 언급합니다. 이는 공격자가 애플리케이션 데이터, 구성 파일, 웹 서버에 사용 가능한 자격 증명 및 해당 보안 컨텍스트에서 접근 가능한 다른 자원에 접근할 수 있게 합니다.

이 취약점은 인터넷에 노출된 시스템에서 특히 우려됩니다. 유효한 계정, 암호, API 키 또는 기타 인증이 필요하지 않기 때문입니다. 공격자는 네트워크 접근만으로 영향을 받는 HTTP/2 엔드포인트에 접근할 수 있습니다.

그럼에도 노출은 설정에 따라 다릅니다.

Apache HTTP Server는 실제로 HTTP/2를 제공해야 합니다. 관리자는 Protocols 지시문을 사용하여 이를 활성화할 수 있습니다:

Protocols h2 http/1.1

TLS를 통한 HTTP/2의 경우 또는:

Protocols h2c http/1.1

평문 HTTP/2가 지원되는 경우

이 지시문은 전체적으로 또는 개별 가상 호스트에 대해 구성될 수 있으므로, 관리자는 노출을 평가할 때 서버 전체 및 사이트별 구성을 모두 검사해야 합니다.

취약한 Apache 버전을 실행하지만 HTTP/1.1만 제공하는 서버는 이 결함에 의해 취약하지 않습니다. Red Hat은 HTTP/2가 활성화되지 않은 시스템은 영향을 받는 코드 경로에 도달하지 않는다고 명시적으로 확인합니다.

Apache의 상류 영향을 받은 범위를 리눅스 배포 패키지에 맹목적으로 적용하면 안 됩니다.

Red Hat Enterprise Linux 8 및 이전 릴리스에는 취약한 코드가 포함되어 있지 않으며 영향을 받지 않습니다. RHEL 9 및 RHEL 10에는 영향을 받는 mod_http2 패키지가 포함되어 있습니다. 그러나 Red Hat은 이 문제를 해당 플랫폼에서 중요하지 않음으로 평가합니다.

차이는 구현 세부사항에서 비롯됩니다. RHEL 9 및 10에서는 각각의 HTTP/2 스트림이 연결과 같은 할당자를 공유하는 대신 별도의 메모리 할당자를 받습니다. Red Hat은 이러한 아키텍처가 익스플로이트 복잡성을 상당히 증가시킨다고 말하지만, 영향을 받는 시스템은 여전히 보안 업데이트가 필요합니다.

Red Hat은 11월 11일 여러 RHEL 9 및 RHEL 10 스트림에 대한 수정된 패키지를 출시했습니다. 공급 업체 관리 리눅스 패키지를 사용하는 관리자는 서버에 표시된 Apache의 상류 버전만으로 취약성을 판단하는 대신 배포판의 보안 업데이트를 적용해야 합니다.

Apache HTTP Server 2.4.71은 상류 수정을 제공합니다. 수정 사항은 영향을 받는 동기화 및 메모리 관리 동작을 수정하여 동시 HTTP/2 작업이 영향을 받는 공유 리소스와 안전하지 않은 방식으로 상호 작용하지 않도록 합니다.

이 취약점은 두 가지 연구 노력에 의해 독립적으로 발견되었습니다.

Anthropic의 OSS Scanner는 2026년 10월 26일 Apache의 보안 팀에 이 문제를 보고했으며, 식별자 ANT-2026-MAPKT6MZ를 부여받았습니다. Google Cloud Vulnerability Research의 Anthony Weems와 Simon Scannell은 11월 3일 독립적으로 취약점을 보고했습니다. Apache는 11월 11일 수정 사항을 출시했습니다.

CVE 기록은 2026년 11월 11일에 발표되었습니다.

CVE-2026-119618 PoC 상황은 신중하게 해석해야 합니다. Red Hat은 공개 연구 결과에서 mod_http2가 활성화된 기본 구성 서버에 대한 신뢰할 수 있는 익스플로잇 사례가 입증되었다고 말합니다. 그러나 The Hacker News와 Wiz는 보고서가 발표될 때 공개적으로 이용 가능한 원격 코드 실행 익스플로잇이 확인되지 않았다고 보도했습니다. 따라서 공개 GitHub 프로젝트가 스캐너나 익스플로잇 관련 도구를 주장한다고 해서 이를 검증된 무기화된 RCE 코드로 자동 해석해서는 안 됩니다.

이 구별은 운영상 중요합니다. 방어자들은 차후 증거가 나오기 전까지는 신뢰할 수 있는 무기화된 익스플로잇이 광범위하게 유통되고 있다는 주장을 피하면서 이 취약점이 기술적으로 익스플로잇 가능하다고 가정해야 합니다.

CVE-2026-119618 탐지를 위해 보안팀은 먼저 노출된 시스템을 식별해야 하며, 익스플로잇 서명에만 의존하지 않아야 합니다.

관리자는 HTTP/2 모듈이 로드되었는지 확인할 수 있습니다:

apachectl -M | grep http2

그런 다음 개별 가상 호스트 안에 정의된 지시문을 포함하여 h2 또는 h2c가 포함된 Apache 구성 파일의 Protocols 지시문을 검사해야 합니다.

외부 서비스 검색은 TLS ALPN을 통해 HTTP/2를 협상하는 서버를 식별할 수도 있습니다. 그러나 버전 식별만으로는 혼란스러울 수 있습니다. 리눅스 배포판은 자주 취약점 수정을 상류에 표시되는 버전 문자열을 변경하지 않고 백포팅합니다.

런타임 원격측정 데이터는 의심스러운 HTTP/2 트래픽과 상관되어야 합니다. 잠재적인 행동 지표에는 반복되는 Apache 작업자 충돌, 세그먼트 오류, 비정상적인 재시작, 메모리 손상 메시지, 또는 비정상적인 HTTP/2 요청 폭발과 관련된 갑작스러운 서비스 불안정이 포함됩니다.

성공적인 익스플로잇은 명령 실행을 제공할 수 있기 때문에 엔드포인트 및 호스트 원격측정 데이터는 Apache로부터 시작된 비정상적인 하위 프로세스를 검토해야 합니다.

예로는 httpd나 apache2가 예기치 않게 셸, 스크립팅 인터프리터, 다운로드 유틸리티, 시스템 관리자 명령을 실행하는 경우가 있습니다.

보안 팀은 다음과 같은 프로세스 관계를 조사해야 합니다:

httpd → /bin/sh

apache2 → bash

httpd → curl

apache2 → wget

또는 호스트된 응용 프로그램의 정상적인 동작과 일치하지 않는 실행 체인을 포함합니다.

임시 디렉터리, 웹 루트, 시작 위치, 또는 쓰기 가능한 애플리케이션 폴더 내의 파일 생성은 익스플로잇 후 활동을 나타낼 수도 있습니다. Apache 작업자 프로세스에서 비정상적인 아웃바운드 연결도 유사한 주의를 받아야 합니다.

Apache와 검토된 소스들은 아직 실세계에서의 악용을 보고하지 않았기 때문에 CVE-2026-119618과 관련된 악성 IP 주소, 도메인, 페이로드 해시, 공격자 인프라 등의 캠페인 특정 IOCs는 현재 없습니다. 이는 구성 평가 및 행동 기반 모니터링이 정적 지표 매칭보다 더 가치가 있는 이유입니다.

CVE-2026-119618 완화

주요 수정 조치는 영향을 받은 Apache HTTP Server 설치를 버전 2.4.71로 업그레이드하거나 운영 체제 공급 업체가 제공하는 수정된 보안 패키지를 적용하는 것입니다. Apache 2.4.71은 2026년 11월 11일에 릴리스되었으며 상류 수정을 포함합니다.

조직은 HTTP/2가 활성화된 인터넷에 노출된 Apache 배포판에 우선순위를 두어야 합니다. 이러한 시스템은 취약한 기능을 신뢰할 수 없는 네트워크 트래픽에 직접 노출합니다.

관리자는 다음 단계를 따라야 합니다:

1. 프로덕션, 개발, 클라우드, 컨테이너 환경 전반에 걸쳐 Apache HTTP Server 배포판을 인벤토리하여 파악하세요.
2. Apache 2.4.55부터 2.4.70까지 실행 중인 설치를 식별하세요.
3. mod_http2가 로드되었는지를 확인하세요.
4. 글로벌 및 가상 호스트 Protocols 지시문에서 h2 또는 h2c가 포함된 항목들을 검사하세요.
5. 상류 Apache 배포판을 2.4.71 이상으로 업그레이드하세요.
6. Apache가 Debian, Red Hat, Amazon Linux 또는 다른 운영 체제 공급 업체를 통해 관리되는 경우 배포판 별 패키지를 적용하세요.
7. 취약한 작업자 프로세스가 더 이상 실행되지 않도록 패치 후 Apache를 재시작하세요.
8. 수정 후 효과적인 HTTP 서버 구성을 확인하세요.
9. 패치 이전에 노출된 인터넷에 노출된 시스템의 의심스러운 활동에 대해 과거 원격측정을 검토하세요.

관리자는 버전 번호가 2.4.71 이하인 운영 체제 패키지를 설치했다고 해서 시스템이 여전히 취약하다고 가정해서는 안 됩니다. Red Hat과 같은 공급 업체는 보안 수정 사항을 자사 패키지 버전에 백포팅하므로 관련 배포판 권고를 권위 있는 것으로 간주해야 합니다.

공식 Apache 권고에는 대체 방법이 제공되지 않습니다. 그러나 즉시 패치할 수 없는 조직은 취약 코드 경로에 대한 접근을 없애기 위해 노출된 설정에서 HTTP/2를 일시적으로 제거할 수 있습니다. Wiz는 업데이트가 배포될 때까지 서버를 HTTP/1.1로 제한할 것을 권장합니다.

예를 들어:

Protocols http/1.1

이 워크어라운드를 적용하는 조직은 사이트 별 구성을 모두 검사해야 합니다. 특정 사이트 구성은 h2 또는 h2c를 독립적으로 활성화할 수 있습니다.

HTTP/2를 제거하면 애플리케이션 성능과 클라이언트 동작에 영향을 미칠 수 있으므로 이러한 변경은 테스트되어야 하며 보안 업데이트를 설치하는 대체 방법이 아니라 일시적인 위험 감소 조치로 간주되어야 합니다.

CVE-2026-119618 완화 전략에는 불필요한 노출을 줄이는 것도 포함되어야 합니다. 직접 인터넷 연결이 필요하지 않은 관리자 또는 내부 Apache 서비스는 네트워크 분할, 로드 밸런서, 리버스 프록시, 방화벽 정책 또는 비공개 주소를 통해 제한해야 합니다.

단독 모드_h2 릴리스 버전 2.0.8부터 2.0.42까지를 사용하는 조직은 특별한 주의가 필요합니다. Apache는 이러한 릴리스가 영향을 받는다고 설명하며, The Hacker News는 11월 12일 보고 당시 수정된 단독 릴리스가 발표되지 않았다고 보도했습니다. 적절한 단독 업데이트가 제공될 때까지 HTTP/2 비활성화 또는 상류 수정 사항을 포함한 Apache HTTP Server 패키지로 이동해야 할 수 있습니다.

의심스러운 활동이 발견되면 방어자는 운영상 가능할 때 영향을 받은 서버를 격리하고 Apache 액세스 로그, 오류 로그, 시스템 로그, 프로세스 원격측정 정보, 네트워크 연결, 관련 메모리 또는 충돌 정보를 보존해야 합니다.

성공적인 익스플로잇은 단순한 서비스 충돌이 아닌 서버 침해 가능성으로 다루어져야 합니다. 조사자는 새 파일, 웹쉘, 변경된 애플리케이션 코드, 지속성 메커니즘, 도난된 자격 증명, 의심스러운 아웃바운드 트래픽, 횡적 이동의 증거를 찾아야 합니다.

Apache 프로세스가 접근할 수 있는 자격 증명, 예를 들어 데이터베이스 패스워드, API 키, 클라우드 자격 증명, TLS 개인 키 또는 애플리케이션 구성을 통해 저장된 비밀은 공격자 제어 코드 실행이 발생한 증거가 있을 경우 검토 및 회전되어야 합니다.