핵심 POINT
우분투(Ubuntu)는 2026년 11월 4일 패키지 관리자 APT에서 공격자가 만든 패키지가 서명 검증을 통과해 root 권한으로 설치될 수 있는 취약점의 수정 패키지를 공개했습니다. KISA도 11월 5일 업데이트를 권고했습니다.
인터넷에 연결만 돼 있다고 바로 뚫리는 취약점은 아닙니다. 공격자가 APT와 패키지 저장소 사이의 HTTP 통신을 조작할 수 있어야 하고, 패키지 설치 중 다운로드를 다시 시도하는 설정이 켜져 있어야 합니다.
설치된 APT 버전을 확인해 수정 버전으로 올리는 것이 근본 조치입니다. 업데이트 전까지는 다운로드 재시도 설정을 0으로 두거나 패키지 저장소 주소를 HTTPS로 바꾸는 방법을 쓸 수 있습니다.
우분투·데비안 패키지 관리자 APT 취약점, 업데이트하다 악성 패키지가 설치될 수 있다?
APT는 우분투와 데비안 계열 리눅스에서 프로그램을 설치하고 업데이트할 때 쓰는 패키지 관리자입니다. 서버 운영자가 보안 패치를 적용할 때 가장 먼저 쓰는 도구이기도 해서, 이 도구에 취약점이 생기면 패치 작업 자체가 공격 경로가 될 수 있습니다.
우분투는 2026년 11월 4일 공식 블로그에서 APT 취약점(CVE-2026-109518)의 수정 소식을 공개했고, KISA 보호나라는 11월 5일 Debian 및 Ubuntu APT 보안 업데이트 권고를 게시했습니다. 이번 글에서는 이 공식 자료를 바탕으로 어떤 조건에서 위험해지는지, 우리 서버가 대상인지 확인하는 방법, 업데이트와 임시 조치 방법을 차례대로 정리합니다.
■ 우분투와 데비안이 공개한 APT 취약점 내용
출처: AI(ChatGPT) 생성 이미지
우분투는 2026년 11월 4일 공식 블로그에서 맥스 저스티츠(Max Justicz)가 APT의 취약점을 발견해 책임 있게 공개했다고 밝혔습니다. 우분투는 이 취약점의 심각도를 높음(High)으로 분류했고, 공통 취약점 평가 체계(CVSS 4.0) 점수는 7.7입니다.
우분투 설명에 따르면 공격자가 APT와 패키지 저장소(아카이브 서버) 사이의 HTTP 통신을 조작할 수 있을 때, 공격자가 만든 .deb 패키지 파일을 설치하게 만들고 root 권한을 얻을 수 있습니다. 평소에는 패키지 서명 검증이 이런 공격을 막지만, 이 취약점은 서명 검증에 실패한 패키지도 설치하도록 속일 수 있다는 점이 문제입니다. .deb 패키지는 설치할 때 안에 든 스크립트가 root 권한으로 실행되기 때문에 위험이 커집니다.
취약점은 APT 라이브러리의 HTTP 처리 부분에 있고, apt, apt-get, aptitude 같은 도구와 우분투 그래픽 설치 프로그램 등 APT를 바탕으로 한 모든 도구가 영향을 받습니다. 반면 snap 패키지는 별도의 패키지 관리 방식을 쓰기 때문에 이 취약점의 영향을 받지 않는다고 우분투는 밝혔습니다. 자세한 취약점 설명은 우분투 CVE 페이지와 데비안 보안 추적기에서 확인할 수 있습니다.
■ 어떤 조건에서 악성 패키지가 설치될까요?
출처: AI(ChatGPT) 생성 이미지
이 취약점은 조건이 겹쳐야 공격이 성립합니다. 우분투와 데비안의 설명을 정리하면 아래와 같습니다.
• 패키지를 설치하는 중이어야 합니다. 시스템이 .deb 패키지를 설치하려 할 때만 공격할 수 있습니다.
• HTTP 통신을 조작할 수 있어야 합니다. 공격자가 APT와 저장소 사이의 통신 경로에 끼어들거나, 악성 미러 서버나 프록시를 운영하고 있어야 합니다.
• 다운로드 재시도 설정이 켜져 있어야 합니다. 취약점은 APT가 실패한 다운로드를 다시 시도하는 과정을 이용하므로 Acquire::Retries 설정이 0이 아니어야 합니다.
이 재시도 설정의 기본값이 3인 버전이 데비안 12(bookworm)와 우분투 22.04 LTS 이후입니다. 따라서 이 버전들은 기본 설정 그대로 쓰면 세 번째 조건이 이미 충족됩니다. 그보다 오래된 우분투 20.04 LTS 이하는 기본 설정에서는 영향을 받지 않지만, 관리자가 재시도 값을 바꿔 두었다면 영향을 받을 수 있다고 우분투는 밝혔습니다.
한편 HTTPS로 저장소에 접속하면 공격자가 통신 내용을 조작할 수 없어 이 공격을 막을 수 있습니다. FTP 같은 다른 전송 방식도 영향을 받지 않는다고 합니다. 반대로 말하면 사내 미러 서버나 해외 저장소를 HTTP 주소로 쓰고 있는 환경이 가장 먼저 점검할 대상입니다. 공식 문서에는 이 취약점이 실제 공격에 쓰였다는 내용이 담겨 있지 않으므로, 과도하게 걱정하기보다 조건을 따져 보고 빠르게 패치하는 것이 좋습니다.
■ 우리 서버가 영향받는지 확인하는 방법
우분투 문서는 설치된 APT 버전을 수정 버전과 비교하는 방법을 권고했습니다. 아래 명령으로 현재 APT 소스 패키지 버전을 확인합니다.
apt list --installed '?source-package(^apt$)'출력된 버전이 아래 표의 수정 버전보다 낮으면 업데이트가 필요합니다. 우분투 20.04 이하는 확장 보안 유지보수(ESM, 우분투 프로 구독) 채널로 수정 버전이 제공됩니다.
| 배포판 | 수정된 APT 버전 | 기본 설정의 영향 |
|---|---|---|
| 우분투 26.04 LTS | 3.2.1ubuntu0.1 | 영향 |
| 우분투 24.04 LTS | 2.8.4ubuntu0.1 | 영향 |
| 우분투 22.04 LTS | 2.4.15ubuntu0.1 | 영향 |
| 우분투 20.04 LTS | 2.0.12+esm1 | 재시도 설정 시 영향 |
| 우분투 18.04 LTS | 1.6.19+esm1 | 재시도 설정 시 영향 |
| 데비안 13(trixie) | 3.0.4 | 영향 |
| 데비안 12(bookworm) | 2.6.2 | 영향 |
우분투 CVE 페이지와 데비안 보안 추적기(2026년 11월 6일 확인) 기준이며, 우분투 16.04 이하와 파생 배포판 등 나머지 버전은 KISA 권고문의 영향 버전 표에서 확인할 수 있습니다.
KISA 권고문에는 더 다양한 APT 버전별 영향 범위가 담겨 있습니다. 눈여겨볼 점은 APT 1.8.3 이상 1.8.5 이하 구간으로, 이 구간은 패치가 발표되지 않았다고 적혀 있고 지원되는 버전으로 전환을 검토하라는 주석이 달려 있습니다. 오래된 배포판을 쓰는 서버가 있다면 이 구간에 해당하는지 확인해야 합니다.
■ 업데이트 방법과 패치 전 임시 조치
근본 조치는 수정된 APT 패키지로 업데이트하는 것입니다. 우분투는 패키지 목록을 갱신한 뒤 전체 업그레이드를 하라고 권고했고, 이때 재시도를 0으로 두고 실행하면 업데이트하는 순간에도 이 취약점을 노린 공격을 막을 수 있다고 설명했습니다.
sudo apt update && sudo apt upgrade -o Acquire::Retries=0전체 업그레이드가 어려운 환경이라면 APT 패키지만 골라서 올릴 수도 있습니다.
sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'우분투는 16.04 LTS 이후 버전에서 무인 업그레이드(unattended-upgrades) 기능이 기본으로 켜져 있어 보안 업데이트가 24시간마다 자동 적용된다고 밝혔습니다. 이 기능을 쓰는 서버는 수정 패키지가 배포된 뒤 24시간 안에 반영되지만, 자동 업데이트를 끈 서버나 업데이트를 수동으로 관리하는 서버는 직접 적용해야 합니다.
HTTPS 전환은 임시 완화책
당장 업데이트하기 어렵거나 통신 경로가 불안하다면 패키지 저장소 주소를 HTTPS로 바꿔 두는 방법이 있습니다. 설정은 /etc/apt/sources.list 파일과 /etc/apt/sources.list.d/ 폴더 안의 파일에 있으며, http:// 주소를 https:// 로 바꾼 뒤 sudo apt update로 오류가 없는지 확인합니다.
다만 일부 커뮤니티 미러, 특히 국가별 미러 중에는 HTTPS를 지원하지 않는 곳이 있어 주소를 바꾸면 오류가 날 수 있습니다. 또한 HTTPS는 통신 중간에서 조작하는 공격을 막는 방법이어서, 악성 미러 서버 자체가 패키지를 내려주는 경우에는 재시도를 0으로 설정하는 방법이 적용됩니다. 어느 쪽이든 임시 조치일 뿐이고, 우분투도 수정 패키지 설치를 강하게 권고했습니다.
■ 기업이 함께 점검할 APT 사용 환경
APT는 서버에만 있는 도구가 아닙니다. 우분투는 이 취약점이 APT 기반의 모든 도구에 영향을 준다고 밝혔으므로 아래 환경을 함께 살펴봅니다.
• 운영 서버와 개발·테스트 서버. 자동 업데이트를 꺼 둔 서버가 없는지 확인합니다.
• 직원이 쓰는 우분투 데스크톱. 그래픽 설치 프로그램도 영향 범위에 들어갑니다.
• 사내 패키지 미러와 프록시. HTTP 주소로 열려 있는지, 관리자가 아닌 사람이 설정을 바꿀 수 있는지 점검합니다.
• 설정 파일 속 재시도 값. 직접 Acquire::Retries를 바꿔 둔 서버가 있는지 확인합니다. 오래된 배포판은 이 값에 따라 영향 여부가 갈립니다.
• 지원이 끝난 배포판. 수정 패키지가 ESM 구독으로만 제공되거나 패치가 없는 버전이 있다면 지원 버전으로의 전환 계획을 세웁니다.
우분투는 악성 미러가 이 취약점을 이용해 서명 없는 악성 패키지를 내려줄 수 있지만, 사용자가 APT 클라이언트를 업데이트하고 나면 침해된 미러가 더 이상 위험이 되지 않는다고 밝혔습니다. 사내 미러를 쓰더라도 각 서버의 APT 업데이트가 우선입니다.
■ 패키지 업데이트 경로를 안전하게 관리하려면
패치를 적용하는 경로 자체가 공격 대상이 될 수 있다는 점은 이번 사례가 보여주는 교훈입니다. 우분투는 서명 검증이 통신 구간만 보호하는 HTTPS보다 훨씬 강한 안전장치라고 설명했지만, 그 서명 검증을 우회할 수 있는 결함이 이번에 발견됐기 때문입니다. 평소에 아래 사항을 운영 절차로 정해 두면 도움이 됩니다.
• 패키지 저장소 목록 관리. 서버가 어떤 저장소와 미러를 쓰는지 목록으로 관리하고 HTTPS 지원 여부를 함께 적어 둡니다.
• 패치 적용 상태 점검. 서버별 APT 버전과 보안 업데이트 적용 여부를 정기적으로 수집합니다.
• 보안 공지 모니터링. 배포판 보안 공지와 KISA 보호나라 권고를 확인하고 적용 기한을 정합니다.
• 이상 징후 모니터링. 업데이트 시간대에 비정상적인 패키지 설치나 외부 통신이 없는지 관제로 살핍니다.
SK쉴더스는 취약점 진단으로 서버와 개발·운영 환경의 패치 누락을 점검하고, 보안관제와 침해사고 대응 서비스로 이상 징후 탐지와 사고 분석을 지원하고 있습니다.
■ 자주 묻는 질문
Q. 이 취약점은 리눅스 커널 취약점인가요?
A. 아닙니다. 리눅스 커널이 아니라 패키지를 설치하고 업데이트하는 도구인 APT의 HTTP 처리 부분에서 발생한 취약점입니다.
Q. 인터넷에 연결된 우분투 서버는 모두 root 권한을 빼앗기나요?
A. 그렇지 않습니다. 공격자가 APT와 저장소 사이의 HTTP 통신을 조작할 수 있어야 하고, 패키지를 설치하는 중에 다운로드 재시도가 일어나야 합니다. 이 조건이 맞지 않으면 공격이 성립하지 않습니다.
Q. 우분투 20.04는 영향을 받지 않나요?
A. 기본 설정에서는 영향을 받지 않습니다. 다만 관리자가 다운로드 재시도 값을 0이 아닌 값으로 설정했다면 영향을 받을 수 있고, 수정 버전은 우분투 프로(ESM) 구독으로 제공됩니다.
Q. HTTPS로 바꾸면 업데이트하지 않아도 되나요?
A. 아닙니다. HTTPS 전환은 통신 중간에서의 조작을 막는 임시 완화책입니다. 우분투도 수정된 APT 패키지를 설치하라고 강하게 권고했습니다.
Q. snap으로 설치한 프로그램도 영향을 받나요?
A. 우분투는 snap 패키지가 별도의 패키지 관리 방식을 쓰기 때문에 이 취약점의 영향을 받지 않는다고 밝혔습니다. 다만 APT로 설치하거나 업데이트하는 패키지는 대상입니다.
[콘텐츠 출처]
Ubuntu 블로그, CVE-2026-109518 APT vulnerability fixes available (2026.11.04)
Ubuntu Security, CVE-2026-109518 (2026.11.04)
KISA 보호나라, Debian 및 Ubuntu 패키지 매니저 APT 보안 업데이트 권고 (2026.11.05)
