아파치 HTTP/2 보안취약점 (CVE-2026-119618)

많이들 사용하는 아파치 웹서버에서 치명적인 보안취약점이 발견되었다고 합니다.

이제는 놀랍지도 않죠? 주간 이벤트라고 생각하시면 되겠습니다.^^

사실, 아파치는 평소에도 한 번 업데이트할 때마다 10여 가지 보안취약점을 패치하곤 합니다.

오래된 프로그램인데다가, 다양한 출처의 모듈을 조합하여 쓰는 구조여서 그렇습니다. 라이믹스와 닮은꼴이죠...

이번 취약점은 HTTP/2를 지원하는 "http2" 모듈에서 발견되었다고 합니다.

이번에도 우분투 등 주요 리눅스 배포판들은 업데이트에 시간을 끌고 있습니다.

여러 군데에서 확인해 보았는데 AlmaLinux 외에는 아직 소식이 없네요.

다행히, 업데이트하지 않고도 막을 방법이 있다고 합니다.

문제의 http2 모듈을 끄고, 예전처럼 HTTP/1.1만 쓰도록 하면 됩니다.

우분투나 데비안이라면 a2dismod http2 명령으로 간단하게 제거할 수 있습니다.

록키 등 RPM 계열의 배포판이라면 /etc/httpd/conf.modules.d 디렉토리의 설정 파일들 중

h2 및 proxy_h2 모듈을 로딩하는 부분을 주석처리하면 됩니다.

만약 각각의 <VirtualHost> 안에서 Protocols h2 명령을 써 놓았다면 이것도 주석처리합니다.

그리고 아파치를 재시작하면 됩니다. (reload 말고 restart)

며칠 후 정식 패치가 나오면 http2 모듈을 다시 켜도 됩니다.

단, 복잡한 멀티쓰레딩 환경에서 네트워크 통신을 담당하는 특성상 은근히 취약점이 자주 나오는 모듈이니

평소에도 조심하는 것이 좋습니다. (nginx에서도 HTTP/2 관련 취약점이 종종 나옵니다.)