NGINX · SECURITY UPDATE
HTTP/3 사용 환경 보안 점검
CVE 1개 · 공식 중요도 보통(Medium)
수정 버전: stable 1.30.5+ / mainline 1.31.6+
릴리스: 2026.09.15 · 확인일: 2026.10.11
2026년 9월 15일 공개된 Nginx 1.30.5는 HTTP/3 사용 시 발생할 수 있는 힙 메모리 버퍼 오버플로 취약점 CVE-2026-90439를 수정한 버전입니다. HTTP/3와 OpenSSL을 함께 사용하는 서버는 버전과 설정을 확인하세요.
핵심 요약
- 공식 중요도: 보통(Medium), Nginx 자체 등급 기준
- 수정 버전: stable 1.30.5 이상 또는 mainline 1.31.6 이상
- 발생 조건: HTTP/3 사용 및 OpenSSL 3.5.0 이하를 사용하는 특정 설정
CVE 및 대응 방법
| CVE 코드 | 내용 | 해결 방법 | 중요도(등급) | 영향받는 버전 |
|---|---|---|---|---|
| CVE-2026-90439 | 특정 설정에서 HTTP/3와 OpenSSL 3.5.0 이하 사용 시 워커 프로세스의 힙 메모리 버퍼 오버플로가 발생할 수 있음. 관련 모듈: ngx_http_v3_module. | stable 1.30.5 이상 또는 mainline 1.31.6 이상으로 업데이트. 즉시 업데이트가 어려우면 HTTP/3 사용을 임시 중단하는 방안을 검토. | 보통 (Medium) | 공식 영향 범위 1.29.2~1.31.5. 단, 수정된 stable 1.30.5 이상 제외. HTTP/3·OpenSSL 조건 확인 필요. |
공식 보안 공지의 영향 범위와 수정 버전을 함께 읽어야 합니다. 범위 표기에 1.30.5가 포함되는 것처럼 보이지만, 공지는 1.30.5 이상 및 1.31.6 이상을 이 CVE에 취약하지 않은 버전으로 별도 명시합니다. 중요도는 CVSS 점수가 아닌 Nginx 공식 등급입니다.
운영 서버 점검
nginx -v로 Nginx 버전을,nginx -V로 빌드 옵션과 OpenSSL 관련 정보를 확인합니다. 빌드 시점과 실행 시점 라이브러리가 다를 수 있으므로 실제 사용하는 OpenSSL도 확인합니다.- HTTP/3 모듈 사용 및 QUIC 리스너 설정을 확인합니다. OpenSSL 3.5.0 이하 사용 여부를 함께 점검합니다.
- 설정을 백업한 뒤 수정 버전 또는 배포판에서 제공하는 보안 패치 패키지로 업데이트합니다.
nginx -t로 설정을 검사하고 서비스 관리 절차에 따라 새 바이너리를 적용합니다. 일반적인 설정 reload만으로 실행 중인 바이너리가 교체되는 것은 아니므로 적용 후 버전과 오류 로그를 확인합니다.
HTTP/3 임시 중단은 노출 조건에 따른 운영상 완화 제안이며 패치를 대체하지 않습니다. HTTP/2·HTTP/1.1 대체 접속과 클라이언트 영향도 확인해야 합니다. 배포판 패키지는 보안 패치를 백포트할 수 있으므로 버전 문자열과 함께 공급업체의 패치 적용 여부를 확인하세요.
참고 자료
사용자 제공 Nginx 1.30.5 변경 내역 · Nginx 공식 보안 공지 · Nginx 공식 릴리스 안내 · F5 상세 공지