보안 · 2026-11-05 13:17 회차

우분투 서버 apt 설치 중 root 권한이 넘어간다? — CVE-2026-109518, 22.04 이상 VPS가 지금 할 3가지

우분투 22.04·데비안 12 이상 서버는 apt가 실패한 다운로드를 기본으로 다시 시도하는 탓에, 패키지 통신을 가로챌 수 있는 공격자가 서명 검증에 실패한 패키지를 설치시켜 root 권한을 얻을 수 있습니다. 11월 4일 수정판이 나왔으니 apt 버전부터 확인하고 업데이트하세요.

무슨 일인가

11월 4일 데비안·우분투·APT 개발진이 연구자 Max Justicz가 제보한 apt 취약점 CVE-2026-109518을 동시에 공지했습니다. apt의 HTTP 다운로드 부분이 파일 하드링크를 재사용하는 바람에, 리다이렉트와 재시도가 겹치면 원래라면 서명 검증에서 걸러졌어야 할 패키지가 설치될 수 있습니다. 패키지 설치 스크립트는 root로 실행되므로 곧바로 서버 장악으로 이어집니다. 우분투는 CVSS 4.0 7.7(High)로, APT 개발진은 치명적(critical)이라고 평가했고 공지에 실제 공격 언급은 없습니다.

공격이 성립하는 순서

apt install 실행
http 저장소 사용

→

중간자·악성 미러가
리다이렉트·오류 유도

→

재시도(기본 3회)에서
바꿔치기 패키지 통과

→

설치 스크립트가
root로 실행

출처: Ubuntu 보안 블로그·CVE 페이지(2026-11-04). https 저장소, 재시도 0, snap 설치는 이 경로에 해당하지 않습니다.

왜 중요한가

공격에는 서버와 저장소 사이 통신을 조작할 수 있는 위치가 필요해 아무나 할 수는 없습니다. 하지만 우분투 기본 저장소 주소는 http로 설정된 경우가 흔하고, 공용 와이파이·사내 프록시·비공식 미러를 거치는 서버라면 조건이 갖춰집니다. 서명 검증이라는 마지막 안전장치가 우회된다는 점이 핵심입니다.

기본 설정에서 안전

우분투 20.04 이하·데비안 11
저장소가 https
snap으로 설치하는 프로그램

업데이트 필요

우분투 22.04·24.04·26.04·26.10
데비안 12 이상
재시도를 켠 구버전

내 사업·앱에 무슨 의미

앱 백엔드를 VPS에 올린 운영자 — 라이트세일·EC2·클라우드 서버의 우분투는 직접 업데이트해야 합니다. 22.04는 2.4.15ubuntu0.1, 24.04는 2.8.4ubuntu0.1이 수정판입니다.
도커로 배포하는 개발자 — 이미지 빌드 중 apt-get을 쓰므로 베이스 이미지를 갱신해 다시 빌드하세요.
공유 웹호스팅 사용자 — 서버 OS는 업체 관리라 직접 할 일은 없습니다.

직접 확인해 본 결과: 앱몬스터 작업용 리눅스 VM(우분투 22.04)에서 아래 1번 명령을 돌려 보니 apt가 2.4.14로 수정판(2.4.15ubuntu0.1) 업데이트 대상이었고, 저장소 주소도 http였습니다. 기본값 그대로 쓰는 서버라면 비슷할 가능성이 큽니다.

지금 해볼 것

apt 버전 확인apt list --installed '?source-package(^apt$)' 결과를 위 수정판 번호와 비교합니다.

재시도 끄고 업데이트sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'

저장소를 https로/etc/apt/sources.list 등의 http:// 우분투 주소를 https://로 바꾸고 sudo apt update에 오류가 없는지 봅니다(https 미지원 미러 주의).

Q&A — 자주 묻는 질문

우분투 20.04 서버도 위험한가요?

기본 설정이면 노출되지 않습니다. 20.04 이하는 재시도 설정이 기본 0이라서인데, 스크립트로 Acquire::Retries를 켜 두었다면 노출되며 수정판(2.0.12+esm1)은 Ubuntu Pro로 받습니다.

자동 보안 업데이트가 켜져 있으면 아무것도 안 해도 되나요?

대부분 24시간 안에 자동 적용됩니다. 우분투는 16.04부터 unattended-upgrades가 기본으로 켜져 있어 하루 한 번 보안 업데이트를 설치하지만, 꺼 둔 서버가 많으니 버전 확인 명령으로 한 번 보는 게 안전합니다.

카페24·가비아 같은 웹호스팅만 쓰는데 할 일이 있나요?

서버 OS를 직접 관리하지 않는 공유 웹호스팅이라면 직접 할 일은 없습니다. 루트 권한이 있는 VPS·서버호스팅·클라우드 인스턴스라면 운영자가 직접 업데이트해야 합니다.