APACHE · SECURITY UPDATE
Apache 2.4.69 보안 업데이트
CVE 20개 · 보통 5개 · 낮음 15개
수정 버전 2.4.69 | 확인일 2026.10.11
업데이트 핵심 요약
Apache HTTP Server 2.4.69에서 수정된 보안 취약점 20개를 정리했습니다. WebDAV, Digest 인증, 프록시, HTTP/2 등 사용하는 모듈과 설정에 따라 실제 노출 여부가 달라지므로, 버전 확인과 함께 활성화된 모듈 및 설정을 점검해야 합니다.
아래 중요도는 Apache 보안팀의 공식 영향 등급입니다. 보통(Moderate) 5개, 낮음(Low) 15개이며, CVSS 점수나 다른 공급업체의 등급과는 구분됩니다. 낮음 등급이라도 인증 우회나 메모리 손상이 포함될 수 있으므로 운영 환경의 노출 조건을 확인해야 합니다.
모든 항목의 수정 버전은 2.4.69입니다. 표의 설정 조정은 업그레이드 전 검토할 임시 노출 축소 방안이며, 패치를 대체하거나 완전한 차단을 보장하지 않습니다.
CVE별 영향과 해결 방법
| CVE 코드 | 내용 및 발생 조건 | 해결 방법 | 중요도(등급) | 영향받는 버전 |
|---|---|---|---|---|
| CVE-2026-93546 | mod_dav_fs 정수 오버플로. 쓰기 권한이 있는 인증된 WebDAV 사용자의 다수 XML 네임스페이스 PROPPATCH 요청으로 작업 프로세스가 종료되거나 속성 DB가 지속적으로 손상될 수 있음. | 2.4.69로 업데이트. 임시로 WebDAV 쓰기 권한과 접근 대상을 제한. | 보통(Moderate) | 2.4.68 이하, 시작 버전 미명시 |
| CVE-2026-79768 | mod_userdir 정보 노출. 와일드카드 없는 절대 경로 UserDir 설정에서 /./ 경로 처리 문제 발생. | 2.4.69로 업데이트. 미사용 mod_userdir 비활성화 검토. | 낮음(Low) | 2.4.0~2.4.68 |
| CVE-2026-73637 | mod_auth_digest 해제 후 사용(UAF). AuthDigestNcCheck 활성화 또는 AuthDigestNonceLifetime 0 설정 시 동시 인증 요청으로 인증 상태 손상 및 서비스 거부 가능. | 2.4.69로 업데이트. 해당 Digest 인증 설정과 외부 접근 범위를 점검. | 낮음(Low) | 2.4.0~2.4.68 |
| CVE-2026-73636 | mod_auth_digest 재전송을 통한 인증 우회. AuthDigestNonceLifetime 0에서 중간자 공격자가 획득한 Digest 인증 정보를 재사용할 수 있음. | 2.4.69로 업데이트. TLS 적용 상태와 nonce 수명 0 설정을 점검. | 낮음(Low) | 2.4.0~2.4.68 |
| CVE-2026-63718 | mod_proxy_uwsgi 응답 스머글링. 조작된 uWSGI 응답의 Transfer-Encoding 해석 불일치 발생. | 2.4.69로 업데이트. uWSGI 백엔드 접근과 신뢰 범위를 제한. | 낮음(Low) | 2.4.30~2.4.68 |
| CVE-2026-63686 | mod_xml2enc NULL 포인터 역참조. 백엔드 응답의 문자셋 변환이 일부 성공한 뒤 실패하면 서비스 거부 가능. | 2.4.69로 업데이트. 미사용 모듈 비활성화 및 백엔드 신뢰 범위 제한 검토. | 낮음(Low) | 2.4.0~2.4.68 |
| CVE-2026-63292 | mod_vhost_alias 스택 버퍼 오버플로. 호스트명 형식 지정자를 쓰는 VirtualDocumentRoot와 기본값보다 큰 요청 헤더 제한에서 8192바이트 초과 Host 헤더로 서비스 거부 또는 잠재적 임의 코드 실행 가능. | 2.4.69로 업데이트. 임시로 LimitRequestFieldSize를 기본값 8190 이하로 유지하거나 미사용 mod_vhost_alias 비활성화. | 보통(Moderate) | 2.4.0~2.4.68 |
| CVE-2026-63045 | mod_proxy_ftp PASV 주소 검증 부족. 포워드 프록시 환경에서 악성 FTP 서버가 임의의 제3자 호스트로 데이터 연결을 유도할 수 있음. | 2.4.69로 업데이트. 불필요한 포워드 프록시를 끄고 FTP 프록시의 외부 연결 대상을 제한. | 낮음(Low) | 2.4.0~2.4.68 |
| CVE-2026-59797 | mod_ssl 권한 관리 문제. .htaccess의 SSLRequire와 파일 관련 표현식 처리에서 발생. | 2.4.69로 업데이트. .htaccess 작성 권한과 허용되는 설정 범위를 제한. | 낮음(Low) | 2.4.0~2.4.68 |
| CVE-2026-59685 | Windows 경로 처리의 경계 밖 쓰기. 8.3 짧은 파일명이 확장되며 길어지는 경로 처리에서 발생. | 2.4.69로 업데이트. Windows 서버의 영향 여부를 우선 점검. | 보통(Moderate) | 2.4.0~2.4.68, Windows |
| CVE-2026-58415 | mod_dav_fs 속성 DB 정보 노출. .DAV 상태 디렉터리에 GET 요청을 보내 작성 권한이 없는 자원의 WebDAV dead property를 읽을 수 있음. | 2.4.69로 업데이트. 임시로 .DAV 상태 디렉터리의 외부 HTTP 접근 차단 검토. | 낮음(Low) | 2.4.0~2.4.68 |
| CVE-2026-57941 | mod_http2 공유 session->bbtmp 재진입으로 해제 후 사용 및 잘못된 메모리 쓰기 발생. | 2.4.69로 업데이트. 패치 전 HTTP/2 사용 중단 가능성을 서비스 영향과 함께 검토. | 보통(Moderate) | 2.4.0~2.4.68 |
| CVE-2026-56449 | mod_proxy_html의 dump_content 처리에서 조작된 HTTP 응답 본문으로 경계 밖 쓰기 및 충돌 발생. | 2.4.69로 업데이트. 미사용 모듈 비활성화 및 백엔드 신뢰 범위 제한 검토. | 낮음(Low) | 2.4.68¹ |
| CVE-2026-56154 | mod_rewrite lookahead 표현식 %{LA-U:HTTP:...} 사용 시 해제 후 사용 발생. | 2.4.69로 업데이트. 관련 lookahead 규칙 사용 여부를 점검하고 제거 가능성 검토. | 낮음(Low) | 2.4.0~2.4.68 |
| CVE-2026-56153 | mod_charset_lite의 finish_partial_char 처리에서 힙 오버플로 및 경계 밖 쓰기 발생. | 2.4.69로 업데이트. 미사용 문자셋 변환 모듈 비활성화 검토. | 낮음(Low) | 2.4.0~2.4.68 |
| CVE-2026-48005 | mod_auth_digest 인증 검사 누락. AuthDigestNcCheck를 사용하는 Digest 인증에 위조 Authorization 헤더를 보내 강제 재인증 및 서비스 거부 유발 가능. | 2.4.69로 업데이트. Digest 인증 노출 범위와 관련 설정을 점검. | 낮음(Low) | 2.4.0~2.4.68 |
| CVE-2026-47360 | mod_session_cookie 정보 노출. 내부 리다이렉트 전후 SessionCookieRemove 설정이 달라지면 제거되어야 할 세션 쿠키가 백엔드에 전달될 수 있음. | 2.4.69로 업데이트. 내부 리다이렉트 경로의 쿠키 제거 설정과 백엔드 전달 여부를 점검. | 낮음(Low) | 2.4.0~2.4.68 |
| CVE-2026-46729 | mod_heartmonitor 유니캐스트 리스너에서 NULL 포인터 역참조로 서비스 거부 발생. | 2.4.69로 업데이트. 리스너 접근을 필요한 내부 시스템으로 제한. | 낮음(Low) | 2.4.0~2.4.68 |
| CVE-2026-42528 | mod_dav 공유 잠금 메모리 계산 오류. WebDAV 잠금 생성 권한이 있는 공격자가 서버 자식 프로세스를 종료시킬 수 있음. | 2.4.69로 업데이트. 임시로 WebDAV 잠금 생성 권한과 접근 대상을 제한. | 보통(Moderate) | 2.4.68 이하로 보수적 점검² |
| CVE-2026-42356 | CGI 내부 리다이렉트의 잘못된 핸들러 지정. CGI 실행 디렉터리 안에 있고 mod_mime이 인식하는 다른 확장자가 없는 대상 파일이 CGI로 실행될 수 있음. | 2.4.69로 업데이트. CGI 디렉터리에 불필요한 파일을 두지 않고 CGI 실행 허용 범위를 제한. | 낮음(Low) | 2.4.60~2.4.68 |
영향 버전 확인 시 참고 사항
¹ 제공된 변경 내용은 2.4.0~2.4.68로 기재되어 있으나, Apache 공식 공지는 영향 버전을 2.4.68로 명시합니다. 이 표는 공식 공지를 따릅니다.
² Apache 공식 공지의 설명 본문은 2.4.67 이하, Affects 표는 2.4.68 이하로 서로 다릅니다. 이 글에서는 누락 방지를 위해 2.4.68도 점검 대상으로 포함하며, 수정 버전은 2.4.69입니다.
운영 서버 적용 전 점검
업데이트 전에는 설정 파일과 필요한 데이터를 백업하고 현재 버전, 활성 모듈, 가상 호스트 구성을 확인합니다. 테스트 환경에서 설정 검사와 인증·프록시·WebDAV·HTTP/2 기능 확인을 수행한 뒤 운영에 적용하고, 재시작 후 버전과 오류 로그를 확인하세요. Linux 배포판 패키지는 수정 사항을 기존 버전에 백포트할 수 있으므로 버전 문자열만으로 판단하지 말고 해당 배포판 보안 공지와 패키지 릴리스도 확인해야 합니다.
출처: 제공된 Apache 2.4.69 변경 내용, Apache HTTP Server 2.4 공식 보안 공지, Apache 공식 다운로드. CVE-2026-63292의 임시 설정 완화는 Red Hat 공식 안내를 참고했습니다. 그 밖의 설정 점검 제안은 발생 조건에 따른 운영상 노출 축소 방안입니다.