CVE-2026-6409: Ubuntu Protobuf PHP 서비스 거부 취약점과 수정 패키지 점검

Protobuf PHP로 외부 입력을 처리한다면 수정 패키지를 확인하세요

이번 확인에서 다루는 공개 식별자: CVE-2026-6409. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

CVE-2026-6409는 Protobuf PHP 라이브러리가 신뢰할 수 없는 입력을 파싱할 때 애플리케이션 충돌이나 자원 소모를 일으킬 수 있는 서비스 거부 취약점입니다. 공식 설명은 음수 varint 길이 처리와 재귀 제한 검증 문제를 지적합니다. Protobuf 패키지가 설치되어 있다는 사실만으로 모든 서비스가 같은 위험에 노출되는 것은 아닙니다. PHP 라이브러리 사용 여부와 외부 입력이 파서에 도달하는 경로를 함께 확인해야 합니다.

Ubuntu USN-8943-1은 Ubuntu 24.04 LTS와 26.04 LTS의 수정 패키지를 명시하고 표준 시스템 업데이트를 안내합니다. 이 글은 동일 사건의 원본 공지와 후속 수집 자료를 함께 검토한 글이며, 게시나 패치 완료를 의미하지 않습니다.

영향 조건과 대응 우선순위

영향 조건과 대응 우선순위 — 계속 1

외부 입력을 처리하는 서비스는 가용성 영향을 고려해 업데이트를 우선 검토하세요. PHP 기능을 사용하지 않는 설치는 실제 사용 경로를 먼저 확인하되, 그 사실만으로 패키지 전체가 비영향이라고 단정하지 않습니다.

Ubuntu 릴리스별 수정 버전

Ubuntu 릴리스별 수정 버전 — 계속 2

해당 릴리스의 수정 버전 또는 수정 사항을 포함한 후속 배포판 패키지를 적용하세요. 표준 시스템 업데이트가 공식 대응입니다. 이번 자료에는 별도의 설정 기반 공식 완화책이 제시되지 않았습니다.

Ubuntu CVE 페이지는 26.04와 24.04를 여전히 Vulnerable로 표시하지만, USN은 위 수정 버전을 제공합니다. 두 문서의 상태 표기가 일치하지 않으므로 CVE 페이지의 상태만으로 수정 패키지가 없다고 판단하지 말고 USN과 실제 저장소의 패키지 버전을 함께 대조해야 합니다.

같은 CVE 페이지는 26.10과 22.04 이하의 열거된 릴리스를 비영향으로, 25.10을 지원 종료로 인한 무시 상태로 표시합니다. 지원 종료 표시는 비영향을 뜻하지 않습니다.

Debian과 직접 설치 환경은 별도로 판단하세요

Debian 보안 추적기는 소스 패키지 protobuf의 bookworm 수정 버전을 3.21.12-3+deb12u1, trixie 수정 버전을 3.21.12-11+deb13u1, unstable 수정 기준을 3.21.12-16으로 제시합니다. bullseye는 minor issue로 수정이 연기된 상태입니다. 소스 패키지 기준 정보이므로 실제 설치된 바이너리 패키지와의 대응도 확인해야 합니다.

배포판은 보안 수정 사항을 기존 버전에 backport할 수 있습니다. 따라서 3.21.12라는 상위 버전 숫자만 보고 취약하다고 판단하거나, Ubuntu에 Debian 패키지 버전을 적용해서는 안 됩니다.

CNA 기록은 제품을 Protobuf-php (Pecl)로 명시하고 영향 범위에 <5.34.0-RC1과 <4.33.6을 함께 기재합니다. Debian 주석은 관련 수정이 v4.33.6에 포함됐다고 설명합니다. 다만 CNA의 두 범위는 브랜치 구분이 명확하지 않아 하나의 연속된 영향 범위로 재해석하지 않습니다. PECL 등 직접 설치 환경은 배포판 표를 적용하지 말고 사용 계열의 공식 수정 릴리스를 추가 확인해야 합니다.

읽기 전용 점검표

아래 명령은 운영자가 확인할 수 있는 예시이며, 이 글 작성 과정에서 실행하지 않았습니다.

cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' php-google-protobuf
apt-cache policy php-google-protobuf

읽기 전용 점검표 — 계속 3

• OS 릴리스와 설치 패키지의 전체 버전을 수정 표와 대조합니다.
• apt-cache policy의 후보 버전은 로컬 패키지 목록 기준이므로 최신 저장소 상태를 보장하지 않는다는 점을 확인합니다.
• 호스트뿐 아니라 PHP 서비스가 실행되는 컨테이너와 별도 런타임의 설치 경로를 확인합니다.
• 애플리케이션 의존성 및 배포 명세에서 배포판 패키지와 PECL 직접 설치 여부를 구분합니다.
• 외부 요청, 메시지 큐, 업로드 데이터가 Protobuf PHP 파서로 전달되는지 코드와 설정을 읽어 확인합니다.
• 기존 로그와 모니터링에서 PHP 작업자 종료, 오류율, 메모리 사용량 변화를 확인합니다. 이런 현상만으로 공격이나 침해를 확정하지 않습니다.

업데이트와 정상 업무 확인

Ubuntu 대상 시스템은 승인된 운영 절차에 따라 표준 시스템 업데이트로 수정 패키지를 적용하세요. Ubuntu는 개별 커밋만 골라 적용하는 방식을 권장하지 않습니다. 실행 중인 PHP 프로세스나 컨테이너에 수정 라이브러리가 반영됐는지도 확인하고, 필요한 재시작·재배포는 서비스 운영 절차에 따라 수행합니다.

• 업데이트 후 설치 버전을 다시 조회해 해당 릴리스의 수정 기준과 대조합니다.
• 정상적인 Protobuf 메시지를 사용하는 조회·저장·연동 업무가 성공하는지 확인합니다.
• PHP 오류율, 작업자 재시작, 응답 시간과 자원 사용량을 기존 기준과 비교합니다.
• 업무 결과와 관측 지표를 기록하고, 문제가 있으면 운영 변경 절차에 따라 대응합니다.

업데이트와 정상 업무 확인 — 계속 4

공격 입력이나 재현 코드를 이용한 검증은 이 안내에 포함하지 않습니다. 실제 테스트, 침해 조사 또는 패치 적용이 완료됐다고 주장하지 않습니다.

근거 확인일과 남은 불확실성

USN은 2026년 10월 20일 공지이며 제공된 원본 수집 시각은 2026년 10월 25일 22:17 UTC입니다. CNA·Ubuntu CVE·Debian 추적기 자료의 수집 및 확인 시각은 2026년 11월 1일 03:55 UTC입니다. 후속 자료는 새로 수집됐지만, 이를 USN 본문까지 같은 날 재확인한 것으로 취급하지 않았습니다.

CNA 자료는 선택된 필드 발췌 자체는 완전하다고 표시되지만 원문 잘림 표시가 있습니다. Ubuntu CVE 상태와 USN 수정 표의 불일치, 직접 설치 계열의 정확한 영향 범위는 남은 불확실성입니다. 반면 Ubuntu 두 릴리스의 수정 패키지와 업데이트 조치는 잘리지 않은 USN에서 확인됩니다.

이 글은 자동 수집 자료와 AI 작성 보조를 바탕으로 제공된 공식 문서를 편집 검토한 결과입니다. 외부 재조회나 서버 변경은 수행하지 않았습니다. 관련 운영 점검은 보안 가이드 허브에서 이어서 확인할 수 있습니다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

• Ubuntu CVE 페이지의 Vulnerable 표기와 USN의 수정 패키지 표가 일치하지 않는다.
• CNA 원문은 잘림 표시가 있으며, 두 영향 버전 범위의 브랜치 구분이 불명확하다.
• PECL 직접 설치 환경의 정확한 계열별 영향·수정 범위는 추가 공식 확인이 필요하다.
• USN의 제공된 수집일은 2026-10-25이며, 후속 자료 확인일인 2026-11-01에 재수집된 것으로 확인되지 않는다.
• 실제 설치 상태, 침해 여부, 업데이트 및 정상 업무 테스트 결과는 확인하지 않았다.