Tomcat 10.1.60에서 수정된 보안 취약점 12개를 정리했습니다. 중요(Important) 4개, 보통(Moderate) 3개, 낮음(Low) 5개이며, 등급은 Apache Tomcat 보안팀의 공식 분류입니다. CVSS 점수와는 구분됩니다.
이 취약점들은 2026년 9월 23일 공개되었습니다. WebSocket, HTTP/2, AJP, 클라이언트 인증서 인증 등 사용 중인 기능과 설정에 따라 실제 노출 여부가 달라집니다. 아래 버전 범위는 Tomcat 10.1 계열 기준이며 양 끝 버전을 포함합니다. M1은 마일스톤 버전입니다.
CVE별 영향과 해결 방법
| CVE 코드 | 내용 및 발생 조건 | 해결 방법 | 중요도(등급) | 영향받는 버전 |
|---|---|---|---|---|
| CVE-2026-87022 | WebSocket per-message-deflate 사용 시 길이 매개변수 처리 문제로 메시지 스머글링 가능. | 10.1.60 이상으로 업데이트. 임시로 WebSocket 압축 사용 중단 검토. | 낮음(Low) | 10.1.0-M1~10.1.59 |
| CVE-2026-86350 | CVE-2026-41293 수정 과정의 회귀 오류로 HTTP/2 요청 헤더가 뒤섞일 수 있음. | 10.1.60 이상으로 업데이트. HTTP/2 사용 및 프록시 연결 구성을 점검. | 중요(Important) | 10.1.55~10.1.59 |
| CVE-2026-86248 | CVE-2026-34500 수정 불완전. OpenSSL-FFM에서 OCSP soft-fail을 비활성화했는데도 일부 CLIENT_CERT 인증 실패가 예상대로 처리되지 않음. | 10.1.60 이상으로 업데이트. OCSP 오류 상황의 인증 거부 동작 검증. | 보통(Moderate) | 10.1.22~10.1.59 |
| CVE-2026-79677 | 동시성 오류로 비동기 WebSocket 쓰기 타임아웃이 유실되어 서비스 거부 가능. | 10.1.60 이상으로 업데이트. WebSocket 자원 사용량과 연결 상태 점검. | 보통(Moderate) | 10.1.0-M1~10.1.59 |
| CVE-2026-78437 | 비정상 HTTP/2 요청이 타이밍에 따라 다른 사용자의 요청 한 건을 실패시킬 수 있음. | 10.1.60 이상으로 업데이트. HTTP/2 사용 여부와 오류 로그 점검. | 낮음(Low) | 10.1.53~10.1.59 |
| CVE-2026-78383 | 요청 본문이 누락되면 AJP 처리 스레드가 점유되어 서비스 거부 가능. | 10.1.60 이상으로 업데이트. 미사용 AJP 커넥터 비활성화 및 접근 범위 제한 검토. | 중요(Important) | 10.1.0-M1~10.1.59 |
| CVE-2026-77791 | WebSocket 종료 메시지 전송 중 busy wait로 서비스 거부 공격 가능. | 10.1.60 이상으로 업데이트. WebSocket 종료 동작 및 CPU 사용량 점검. | 중요(Important) | 10.1.8~10.1.59 |
| CVE-2026-77762 | 경합 상태에서 오래된 HPACK 처리 객체가 다른 HTTP/2 요청에 트레일러 필드를 주입할 수 있음. | 10.1.60 이상으로 업데이트. HTTP/2 및 트레일러 처리 경로 점검. | 낮음(Low) | 10.1.0-M1~10.1.59 |
| CVE-2026-77756 | 리버스 프록시 뒤에서 HTTP/1.0 요청의 Transfer-Encoding을 처리해 다른 사용자의 요청 한 건이 실패할 수 있음. | 10.1.60 이상으로 업데이트. 프록시와 Tomcat 간 HTTP 요청 처리 점검. | 낮음(Low) | 10.1.0-M1~10.1.59 |
| CVE-2026-76183 | 요청 경로를 WebSocket 엔드포인트 템플릿으로 잘못 해석해 보안 제약을 우회할 수 있음. | 10.1.60 이상으로 업데이트. WebSocket 엔드포인트 인증·인가 테스트. | 중요(Important) | 10.1.0-M1~10.1.59 |
| CVE-2026-75973 | 여러 웹앱이 SimpleAuthConfigProvider를 기본 Jakarta Authentication 제공자로 공유하면 첫 인증 앱의 Realm이 다른 앱에도 사용됨. | 10.1.60 이상으로 업데이트. 앱별 인증 제공자와 Realm 분리 여부 검증. | 낮음(Low) | 10.1.0-M1~10.1.59 |
| CVE-2026-73581 | 인증서가 keystore를 사용하는 경우 OpenSSL 및 OpenSSL-FFM TLS 구현이 CRL을 무시함. | 10.1.60 이상으로 업데이트. 폐기된 인증서가 거부되는지 검증. | 보통(Moderate) | 10.1.0-M1~10.1.59 |
운영 서버 적용 전 점검
설정과 애플리케이션을 백업한 뒤 현재 Tomcat 버전, WebSocket·HTTP/2·AJP 사용 여부, TLS 구현과 OCSP·CRL 구성을 확인합니다. 테스트 환경에 수정 버전을 적용하고 인증·인가, WebSocket 연결 및 종료, 프록시 연동을 검사하세요. 운영에 적용한 뒤 실행 버전과 오류 로그를 확인합니다.
표의 설정 점검과 기능 제한은 발생 조건을 고려한 운영상 제안이며 패치를 대신하지 않습니다. 배포판이나 제품에 내장된 Tomcat을 사용한다면 공급업체의 패치 및 업데이트 경로를 확인하세요.
출처: 사용자 제공 취약점 내역 및 Apache Tomcat 10.1 공식 보안 공지.