Apache Tomcat에서 발생한 CVE-2026-34486 취약점은 민감 데이터의 암호화 누락으로 EncryptInterceptor를 우회할 수 있는 보안 결함입니다. 실제 공격에 악용된 사례가 확인되어 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되었습니다.
CVE-2026-34486 취약점 개요 및 발생 원인
CVE-2026-34486은 Apache Software Foundation의 Apache Tomcat 제품에서 발견된 보안 취약점입니다. 핵심은 민감한 데이터 암호화가 누락되어 EncryptInterceptor의 보안 메커니즘을 우회할 수 있다는 점입니다.
이 취약점은 과거에 보고된 CVE-2026-29146을 수정하는 과정의 불완전한 조치에서 비롯되었습니다. 이전 취약점을 해결하려던 패치가 오히려 EncryptInterceptor의 우회 경로를 열어준 셈입니다. 이 취약점 기록은 2026년 3월 30일에 예약되었으며, 할당자는 apache로 기재되어 있습니다.
공격 성립 조건 및 위험도 분석
1. 취약점 영향 범위 및 성립 조건
모든 Tomcat 환경이 이 취약점에 노출되는 것은 아닙니다. 공격이 성립하려면 다음과 같은 특정 환경 조건이 갖춰져야 합니다.
- 클러스터 구성 사용: ‘Apache Tribes’ 클러스터 구성을 사용하고 있어야 합니다.
- 인터셉터 활성화: 이 구성에서 EncryptInterceptor가 활성화되어 있어야 합니다.
- 환경적 특이사항: 단일 서버로 운영 중이라면 이 취약점의 영향을 받지 않습니다.
2. 취약점 체이닝 및 잠재적 위협
CVE-2026-34486은 단독으로 끝나는 취약점이 아닙니다. 다른 취약점과 연쇄적으로 결합(Chaining)되면 더욱 치명적인 위험을 낳습니다. 특히 CVE-2025-24813과 체이닝이 가능합니다.
CVE-2025-24813은 partial PUT 방식으로 다음과 같은 심각한 보안 사고를 일으킬 수 있는 취약점입니다.
- 잠재적인 원격 코드 실행(RCE)
- 민감한 정보 노출
- 데이터 및 정보 변조
EncryptInterceptor가 우회된 상태에서 CVE-2025-24813이 결합되면 공격자가 암호화된 통신 경로를 무력화하고 서버의 제어권을 획득하거나 내부 데이터를 임의로 수정할 수 있는 고위험 상황이 벌어집니다.
3. 위험도 평가
이 취약점의 위험도는 CVSS 3.1 및 4.0 기준 모두 7.5점(High)으로 평가되었습니다. 기업 보안 담당자가 즉각적으로 대응해야 하는 높은 수준의 위험군에 해당합니다.
영향을 받는 버전 및 패치 정보
시스템 관리자는 운용 중인 Tomcat의 버전을 즉시 확인해 아래 표의 영향 범위에 포함되는지 따져봐야 합니다.
| Tomcat 릴리스 라인 | 영향 받는 버전 범위 | 패치 완료 버전 |
|---|---|---|
| 9.0.x | 9.0.0.M1 ~ 9.0.116 | 9.0.117 |
| 10.1.x | 10.1.0-M1 ~ 10.1.53 | 10.1.54 |
| 11.0.x | 11.0.0-M1 ~ 11.0.20 | 11.0.21 |
CISA KEV 등재 및 실제 악용 사례
미국 사이버보안 및 인프라 보안국(CISA)은 이 취약점을 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재했습니다. KEV에 등재되었다는 것은 이론적인 취약점을 넘어 실제 야생(In-the-wild)에서 공격에 이용되었음이 입증되었다는 뜻입니다.
실제로 중국의 SnowLight APT 그룹이 CVE-2026-34486을 이용해 공격을 수행한 사례가 보고되었습니다. 국가 배후의 APT 그룹이 활용하는 취약점인 만큼, 단순한 버그 수정이 아니라 전략적인 보안 위협으로 보고 대응하는 것이 맞습니다.
시스템 관리자 대응 가이드라인
보안 운영 센터(SOC) 담당자 및 기업 보안 관리자는 다음 단계에 따라 긴급 대응을 서두르면 됩니다.
- 인벤토리 점검: 현재 운용 중인 Apache Tomcat의 버전을 확인하고, 특히 ‘Apache Tribes’ 클러스터 구성과 EncryptInterceptor 활성화 여부를 전수 조사하십시오.
- 즉각적인 업데이트: 영향 범위에 해당하는 버전(9.0.116 이하, 10.1.53 이하, 11.0.20 이하)을 사용 중이라면 즉시 패치 완료 버전(9.0.117, 10.1.54, 11.0.21)으로 업데이트하십시오.
- 체이닝 취약점 검토: CVE-2026-34486뿐 아니라 이와 결합 가능한 CVE-2025-24813 방어 조치가 적절히 이루어져 있는지도 함께 점검하십시오.
- 이상 징후 모니터링: APT 그룹이 악용한 사례가 보고된 만큼, 클러스터 통신 구간에서 비정상적인 요청이나 암호화되지 않은 민감 데이터 전송 시도가 있는지 로그 분석을 강화하십시오.