Apache HTTP/2 취약점(CVE-2026-119618) — 내 홈페이지 서버 해당 확인과 지금 할 일

무슨 일이 생겼나? — Apache 2.4.71 긴급 보안 업데이트

Apache HTTP Server 보안팀은 2026년 11월 11일 2.4.71을 내면서 HTTP/2 처리 모듈(mod_http2)의 헤더 처리 함수에서 생기는 경쟁 상태(동시 실행 동기화 결함)가 힙 메모리 손상과 원격 코드 실행으로 이어진다고 공지했습니다. 등급은 Apache 자체 기준 critical, Red Hat 평가 CVSS 9.8입니다. 같은 릴리스에서 mod_md 충돌(CVE-2026-106023, important)과 mod_vhost_alias 결함(CVE-2026-109163, low)도 함께 고쳐졌습니다.

CVE-2026-119618 한눈에 (11/12 기준)

2.4.71

수정 버전 (11/11 공개)

2.4.55~2.4.70

영향 버전 (HTTP/2 켠 서버)

9.8

CVSS (Red Hat 평가)

0건

공개된 실제 공격 보고

출처: Apache HTTP Server 보안 공지, The Hacker News(11/12). 실제 공격 보고 0건은 11/12 공개 자료 기준이며 바뀔 수 있음.

이 취약점은 Anthropic의 오픈소스 스캐너가 10월 26일, 구글이 11월 3일 각각 Apache에 보고했습니다. 깃허브에서 따로 받는 mod_h2 모듈도 2.0.8~2.0.42가 해당합니다.

내 서버가 해당되는지 어떻게 확인하나? — 4단계

결론부터: Apache를 쓰는가 → 버전이 범위 안인가 → HTTP/2 모듈이 켜져 있는가 세 가지가 모두 '예'일 때 해당합니다. 하나라도 '아니오'면 이번 건은 비켜 갑니다.

해당 여부 확인 순서

웹서버 종류 확인서버에서 apachectl -v 또는 httpd -v. 명령이 없고 nginx만 있으면 해당 없음

버전 확인Server version이 2.4.55~2.4.70이면 범위 안. 단 배포판은 모듈만 따로 올리기도 하니 3단계까지 볼 것

HTTP/2 모듈 확인apachectl -M | grep http2 결과에 http2_module이 보이면 켜진 것

설정 확인설정 파일의 Protocols 줄에 h2 또는 h2c가 있는지 (가상호스트별로 따로 켜질 수 있음)

# 1~3단계를 한 번에
apachectl -v 2>/dev/null || httpd -v
apachectl -M 2>/dev/null | grep -w http2_module
grep -Rni "^\s*Protocols" /etc/apache2 /etc/httpd 2>/dev/null

다른 안내에서 빠진 함정 두 가지. ① 브라우저 개발자 도구에 h2로 보인다고 내 서버가 해당되는 것은 아닙니다. Cloudflare 같은 CDN·로드밸런서가 HTTP/2를 받아 주는 경우가 많아서, 원 서버에서 3단계를 봐야 합니다. 반대로 CDN 뒤라도 원 서버 IP가 그대로 열려 있으면 직접 공격받을 수 있습니다. ② 버전 번호만 보고 안심하면 안 됩니다. CloudLinux 공지에 따르면 우분투 22.04는 Apache 2.4.52인데도 mod_http2 2.0.42가 들어 있어, 모듈을 켜 두었다면 해당합니다(기본값은 꺼짐).

지금 당장 할 것은? — 환경별 조치표

결론: 수정 패키지가 있으면 업데이트 + 재시작, 없으면 HTTP/2를 끄고 기다리기입니다. 업데이트 뒤에는 Apache를 재시작해야 새 모듈이 적용됩니다.

내 환경	11/12 기준 상태	지금 할 일
RHEL·AlmaLinux 9·10 (자체 VPS)	수정 패키지 배포(AlmaLinux 11/11, RHEL 9·10)	`dnf update mod_http2` 후 `systemctl restart httpd`
데비안 12·13 / 우분투 (자체 VPS)	수정판 없음(데비안 보안 추적기 전 버전 vulnerable)	`a2dismod http2` 또는 Protocols를 http/1.1만 남기고 재시작 → 수정판 나오면 apt 업데이트
cPanel(EasyApache 4)	현재 빌드 2.4.70으로 영향 범위	mod_http2 모듈 제거 후 재시작, 수정 빌드 나오면 재설치
소스로 직접 빌드한 Apache	2.4.71 공개	2.4.71로 업그레이드
카페24·가비아 등 공유 호스팅	국내 업체 공지 미확인	고객센터에 2.4.71 적용 또는 HTTP/2 비활성 여부 문의
RHEL 6·7·8, CloudLinux 7·8 기본 Apache	영향 없음(Red Hat·CloudLinux 발표)	추가 조치 불필요, 정기 업데이트 유지

# 데비안·우분투: 수정판 전 임시 조치
sudo a2dismod http2
sudo systemctl restart apache2
apachectl -M | grep -w http2_module   # 아무것도 안 나오면 꺼진 것

# 또는 설정 파일에서 (가상호스트마다 확인)
Protocols http/1.1

HTTP/2 끄기는 CloudLinux 공지와 The Hacker News 보도에 나온 임시 조치입니다. 끄고 나서도 사이트와 HTTPS는 정상 동작합니다.

배포판·호스팅마다 상태가 왜 다른가?

결론: Apache가 고친 날과 내 서버에 패치가 도착하는 날은 다릅니다. 리눅스 배포판은 원본 소스를 받아 자기 패키지로 다시 만들어 배포하기 때문에 며칠 이상 차이가 날 수 있습니다.

패치가 내 서버에 오기까지

Apache 2.4.71
11/11 공개

→

배포판 패키지
(Alma 11/11·RHEL 9·10, 데비안·우분투 대기)

→

호스팅·패널
(cPanel 빌드 대기)

→

내 서버
업데이트 + 재시작

11/12 기준 확인된 상태. 데비안 보안 추적기·CloudLinux 공지·The Hacker News.

그래서 "Apache가 고쳤다"는 기사만 보고 안심하면 안 되고, 내 서버의 패키지 상태를 직접 봐야 합니다. 이 빈틈 동안 쓸 수 있는 장치가 HTTP/2 끄기입니다.

왜 서버 취약점이 한 달 새 계속 터지나?

결론: 홈페이지는 여러 겹의 소프트웨어 위에서 돌아가고, 겹마다 패치 주기가 따로라서입니다. 앱몬스터는 10월 이후 PHP2Shell(언어), Node2Shell(런타임), 워드프레스 7.1.4(앱) 긴급 대응 가이드를 냈고, 이번 Apache는 그 아래 웹서버 겹입니다.

홈페이지 한 개를 이루는 패치 겹

운영체제·커널

배포판 업데이트

웹서버(Apache)

이번 CVE-2026-119618

언어(PHP·Node)

10월 PHP2Shell·Node2Shell

앱(워드프레스 등)

10월 워드프레스 7.1.4

막대 길이는 의미 없음(겹 구분용). 각 겹은 업데이트 주체와 시점이 다름.

소상공인 사이트는 대개 처음 만든 업체가 손을 뗀 뒤 이 겹들을 아무도 챙기지 않는 상태로 운영됩니다. 이번 건처럼 "패치는 나왔는데 배포판엔 아직 없고, 임시로 설정을 바꿔야 하는" 상황은 누군가 서버에 들어가 확인해야만 막을 수 있습니다.

직접 하기 어렵다면 — 맡기면 얼마·얼마나 걸리나?

결론: 서버 접속 정보만 있으면 해당 확인과 HTTP/2 비활성화는 명령 몇 줄로 끝나는 작업이고, 앞으로 이런 공지를 대신 챙기려면 월 유지보수가 맞습니다.

상황	권장	참고
공유 호스팅, 서버 접근 불가	호스팅사 문의로 충분	무료 진단으로 버전 노출 여부 확인 가능
VPS 직접 운영, 이번 한 번만	1회 보안 점검	보안 점검 비용과 범위
VPS·앱 서버를 계속 운영	유지보수 월정액(월 20만·40만·80만 원)	유지보수 비용 기준
이미 침해 흔적이 보임	복구 먼저	해킹 복구 순서

내 사이트가 어떤 서버 정보를 밖에 드러내고 있는지는 무료 진단 리포트로 먼저 확인할 수 있습니다. PHP 버전이 오래된 사이트라면 PHP2Shell 대응 가이드도 함께 보세요.

Q&A — Apache HTTP/2 취약점 자주 묻는 질문

Apache HTTP/2 취약점 CVE-2026-119618, 내 사이트도 해당되나요?

Apache 웹서버 2.4.55~2.4.70을 쓰면서 HTTP/2(mod_http2)를 켜 둔 서버만 해당합니다. Nginx만 쓰는 서버, HTTP/2를 끈 Apache, RHEL 6~8 계열 기본 Apache는 해당하지 않습니다. 공유 호스팅이면 업체에 Apache 버전과 HTTP/2 사용 여부를 물어보세요.

브라우저 개발자 도구에 h2라고 나오면 제 서버가 위험한 건가요?

그것만으로는 알 수 없습니다. Cloudflare 같은 CDN이나 로드밸런서를 앞에 두면 브라우저에는 h2로 보여도 원 서버는 HTTP/1.1일 수 있고, 반대로 CDN 뒤 원 서버가 HTTP/2를 켜 두고 직접 노출돼 있을 수도 있습니다. 원 서버에서 apachectl -M으로 http2_module이 올라와 있는지 봐야 정확합니다.

우분투·데비안 서버는 패치가 없는데 어떻게 하나요?

수정 패키지가 나오기 전까지 HTTP/2를 끄는 것이 현실적인 임시 조치입니다. sudo a2dismod http2 후 Apache를 재시작하거나, 설정의 Protocols 줄을 http/1.1만 남기면 됩니다. 수정 패키지가 나오면 apt로 업데이트한 뒤 다시 켜면 됩니다.

HTTP/2를 끄면 사이트가 안 열리거나 많이 느려지나요?

안 열리지는 않습니다. 브라우저는 HTTP/1.1로 자동 접속하고 HTTPS·SSL 인증서도 그대로 동작합니다. 이미지가 아주 많은 페이지에서 첫 로딩이 조금 느려질 수는 있지만, 패치 전까지 원격 코드 실행 위험을 막는 쪽이 훨씬 중요합니다.

카페24·가비아 같은 호스팅을 쓰면 제가 할 일이 있나요?

웹서버는 호스팅 업체가 관리하므로 직접 고칠 수 없습니다. 업체 고객센터에 'Apache 2.4.71 적용 또는 HTTP/2 비활성화가 됐는지' 물어보고, 답을 받기 전까지는 관리자 비밀번호 변경·백업 확인 정도를 해 두면 됩니다. 11월 12일 기준으로 국내 호스팅사의 공식 공지는 확인하지 못했습니다.

실제로 해킹 공격이 일어나고 있나요?

11월 12일 기준 공개된 실제 공격 보고는 없습니다. 다만 Red Hat은 기본 설정 서버에서 안정적으로 동작하는 공격 방법이 연구로 입증됐다고 평가했고, 10월 PHP2Shell은 공개 직후, Node2Shell은 일주일 안에 실제 공격이 확인된 전례가 있어 패치 공개 직후인 지금이 조치하기 가장 좋은 시점입니다.

출처

Apache HTTP Server 2.4 보안 취약점 목록 (2.4.71, 2026-11-11): https://httpd.apache.org/security/vulnerabilities_24.html
The Hacker News, Critical Apache HTTP/2 Flaw (2026-11-12): https://thehackernews.com/2026/11/critical-apache-http2-flaw-could-let.html
Debian 보안 추적기 CVE-2026-119618 (2026-11-12 확인): https://security-tracker.debian.org/tracker/CVE-2026-119618
CloudLinux, Critical Apache mod_http2 flaw (2026-11-11): https://cloudlinux.com/security/critical-apache-mod-http2-flaw-cve-2026-119618-cloudlinux

2026년 11월 12일 기준 작성. 배포판·호스팅 패치 상태는 빠르게 바뀌므로 조치 전 각 공지를 다시 확인하세요.

내 서버가 해당되는지 모르겠다면

서버 종류·버전·HTTP/2 설정을 대신 확인하고, 필요하면 당일 임시 조치까지 해 드립니다.

카톡으로 무료 점검 받기 의뢰 양식으로 문의