Apache HTTP/2 더블프리 취약점(CVE-2026-23918) — 2.4.66을 쓴다면 지금 점검할 것

무엇이 문제인가 — HTTP/2 early reset에서의 더블프리

이 취약점의 공식 설명은 짧고 분명합니다. Apache 보안 권고와 공개 메일의 문구를 그대로 옮기면 이렇습니다.

HTTP/2 프로토콜을 사용하는 Apache HTTP Server의 더블프리 및 원격 코드 실행 가능성 취약점. ("Double Free and possible RCE vulnerability in Apache HTTP Server with the HTTP/2 protocol.")

핵심 키워드는 두 가지입니다. 하나는 더블프리(이중 해제, CWE-415)로, 이미 해제된 메모리를 다시 해제하면서 메모리 상태가 깨지는 결함입니다. 다른 하나는 공식 제목에 명시된 "early reset"입니다. HTTP/2에서 클라이언트가 스트림을 빠르게 리셋(RST_STREAM)하는 처리 과정과 관련이 있다는 의미죠. 더블프리는 흔히 서비스 중단으로 이어지지만, 이번 건은 공식 표현 그대로 원격 코드 실행 가능성(possible RCE)까지 거론된다는 점에서 단순 안정성 이슈로만 보기 어렵습니다.

등급과 점수를 정확히 읽기

이 취약점은 출처에 따라 "important"로도, "critical"로도 검색됩니다. 혼선을 피하려면 누가 무엇을 산정했는지 나눠서 봐야 합니다.

정리하면 Apache 공식 등급은 important이고, 흔히 인용되는 8.8 HIGH는 CISA-ADP가 산정한 CVSS 값입니다. NIST(NVD) 본평가는 아직 제공되지 않았으니, "NVD가 8.8로 평가했다"가 아니라 "CISA-ADP가 8.8로 산정, NIST 평가는 대기"로 표현하는 편이 정확합니다. 일부 매체의 "critical" 헤드라인도 CVSS 점수에 기댄 표현이지 Apache 공식 등급은 아닙니다.

영향 버전과 수정 — 2.4.66에서 2.4.67로

공식 권고의 영향·수정 범위는 명확합니다.

타임라인도 함께 보면 이해가 빠릅니다. 2025년 12월 10일 보고(PR 69899), 다음 날인 12월 11일 소스 저장소에서 수정(r1930444·r1930796)됐고, 사용자용 릴리스인 2.4.67은 2026년 5월 4일에 나왔습니다. 발견은 striga.ai와 isec.pl 연구자가 했습니다.

운영자가 점검할 것

대응의 큰 줄기는 단순합니다. 공식 해법이 업그레이드 하나로 명확하기 때문입니다. 다만 "우리가 영향권인가"를 먼저 정확히 가려야 우선순위를 잡을 수 있습니다.

• 버전 확인 — httpd -v 등으로 운영 중인 Apache 빌드를 확인합니다. 공식 영향 버전은 2.4.66입니다.

• HTTP/2 노출 여부 — Apache의 HTTP/2는 mod_http2가 담당합니다. 2.4.66에서 HTTP/2를 켜고 외부에 노출 중이라면 우선순위를 높입니다.

• 2.4.67로 업그레이드 — 공식 권고는 2.4.67 업그레이드이며, 별도 우회책은 제시되지 않았습니다. 가능한 한 빨리 적용합니다.

• 배포판·이미지 공지 확인 — 실제 적용은 사용하는 리눅스 배포판·컨테이너 이미지의 보안 업데이트로 내려오는 경우가 많으니, 해당 채널의 패치 공지도 함께 확인합니다.

웹서버 자체의 취약점은 그 앞단의 CDN이나 WAF만으로 완전히 가려지지 않습니다. 결국 오리진 서버를 제때 패치하는 운영 체계가 핵심입니다. 보안 패치를 놓치기 쉬운 환경이라면, 취약점 공지를 추적하고 적용하는 절차부터 점검해두는 것이 좋습니다.

이것만 기억하세요

자주 묻는 질문 (FAQ)