Apache HTTP Server(흔히 Apache, httpd) 보안 이슈 중 가장 중요한 건 HTTP/2 기반 원격 코드 실행(RCE) 가능 취약점입니다. 특히 2026년 5월 공개된 Apache 2.4.66 관련 취약점이 현재 가장 위험하게 평가되고 있습니다.

가장 위험한 최근 Apache 취약점

CVE-2026-23918 — HTTP/2 Double Free (RCE 가능)

영향도:

High (CVSS 8.8)
원격 비인증 공격 가능

영향 버전:

Apache HTTP Server 2.4.66
mod_http2 활성화 환경

Apache 공식 보안 공지에서는:

“Double Free and possible RCE vulnerability”

라고 명시했습니다.

핵심 원인:

HTTP/2 stream cleanup 과정에서
메모리가 두 번 해제(Double Free)되는 문제

공격자는 조작된:

HEADERS
RST_STREAM

프레임 조합으로:

worker crash
DoS
특정 환경에서 원격 코드 실행(RCE)

까지 유발할 수 있습니다.

특히 위험한 환경

다음 조건이면 우선 점검해야 합니다.

조건위험도

HTTP/2 사용	매우 높음
Reverse Proxy	높음
인터넷 공개 서버	매우 높음
Docker Apache 이미지	높음
Event/Worker MPM 사용	높음

특히:

Protocols h2 http/1.1

설정이 있으면 영향 가능성이 큽니다.

즉시 확인해야 할 것

1. Apache 버전 확인

httpd -v

또는:

apachectl -v

취약 버전:

Apache/2.4.66

안전 버전:

Apache/2.4.67 이상

임시 대응 방법

패치 전까지는 HTTP/2 비활성화 권장:

a2dismod http2
systemctl restart apache2

또는 config 에서:

Protocols http/1.1

Apache 공식 및 여러 보안 기관도 임시 완화책으로 HTTP/2 비활성화를 권고했습니다.

최근 같이 공개된 주요 Apache 취약점

1. mod_proxy_ajp Heap Buffer Overflow

CVE-2026-28780
영향도: Critical 수준 평가 사례 존재

영향:

악성 AJP 서버 응답으로
heap overflow 발생 가능

특히:

ProxyPass ajp://

사용 환경 주의입니다.

2. mod_auth_digest 인증 우회 가능성

CVE-2026-33006

영향:

timing attack 기반
Digest 인증 우회 가능성

즉:

AuthType Digest

사용 중이면 위험합니다.

권장

Digest 제거
Basic + HTTPS
OAuth2 / SSO 전환

3. mod_rewrite 권한 상승

CVE-2026-24072

영향:

.htaccess 작성 권한 있는 사용자가
Apache 권한으로 파일 읽기 가능

공유호스팅/멀티테넌트 환경에서 특히 위험합니다.

운영자 기준 가장 중요한 점검 포인트

1순위 — HTTP/2 사용 여부

확인:

apachectl -M | grep http2

결과:

http2_module

나오면 영향 가능성 있습니다.

2순위 — AJP 사용 여부

확인:

grep -R "ajp://" /etc/httpd

또는:

grep -R "ProxyPass" /etc/httpd

AJP 안 쓰면 제거 권장입니다.

3순위 — Digest 인증 제거

grep -R "AuthType Digest" /etc/httpd

발견 시 교체 권장입니다.

4순위 — 불필요 module 제거

확인:

apachectl -M

안 쓰면 제거:

mod_dav
mod_dav_lock
mod_proxy_ajp
mod_status

최근 Apache 보안 트렌드

최근 특징은 다음과 같습니다.

분야최근 경향

HTTP/2	취약점 급증
Reverse Proxy	공격 표면 증가
AJP	반복 취약점 발생
Memory corruption	Double Free 증가
Container 환경	Docker 이미지 영향 확대

특히 mod_http2 관련 취약점은 최근 몇 년간 계속 반복되고 있습니다.

저작자표시 비영리 변경금지 (새창열림)

Wonkidoki Story

[OpenSource / Apache] 보안 취약점 조치 내용(2026.5.19 기준)