Debian 13 nginx 보안 업데이트: DSA-6575-1 수정판과 설정 점검

Debian 13 trixie의 nginx 보안 공지 DSA-6575-1을 바탕으로 수정 패키지 1.26.3-3+deb13u10, 취약점별 영향 조건, backport 주의점과 업데이트 전후 점검을 정리합니다.

공식 보안 자료를 자동 수집하고 AI 작성 보조로 정리한 글입니다. 출처와 불확실성을 함께 표시하며 실제 공격 재현·침해 판정·개별 서비스의 패치 완료를 주장하지 않습니다.

Debian 13 nginx, 배포판 수정 패키지로 대응

이번 확인에서 다루는 공개 식별자: CVE-2026-15176, CVE-2026-93479, CVE-2026-95101, CVE-2026-97205, CVE-2026-97629. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Debian 보안 공지 DSA-6575-1은 nginx의 취약점 5건을 다루며, Debian 13 stable인 trixie의 수정 패키지를 1.26.3-3+deb13u10으로 명시한다. 운영자는 설치된 패키지와 저장소의 제공 버전을 확인한 뒤 이 수정판 또는 해당 수정을 포함한 후속 Debian 보안 패키지로 업데이트해야 한다.

영향은 설정과 사용하는 기능에 따라 달라진다. 공지는 메모리 손상, 서비스 거부, 백엔드 요청 주입, 클라이언트 인증서 인증 우회 가능성을 설명한다. 모든 nginx 설치에서 이 영향이 발생한다고 해석해서는 안 된다.

취약점별 영향과 대응 판단

CVE	공식 자료에서 확인되는 영향 조건과 결과	운영자 판단
CVE-2026-15176	`alias`를 사용하는 location에서 재작성된 URI를 파일 경로로 변환할 때 버퍼 오버플로 가능. F5 CNA는 `rewrite`와 `$request_filename`을 참조하는 `set`·`return`, 또는 로그 형식에서의 해당 변수 사용을 설명한다.	관련 location과 로그 설정을 우선 검토하고 패키지를 업데이트한다.
CVE-2026-93479	HTTP·stream의 문자열 표현식 평가에서 버퍼 오버플로 가능. 가변 document root와 access log 경로가 포함된다. F5 CNA는 정규식 `map`의 캡처 변수 참조 순서와 특정 비캐시 변수 사용 조건을 설명한다.	변수 기반 경로와 정규식 캡처 사용을 검토한다. Debian은 이전 보안 backport로 trixie에 영향 코드가 들어왔다고 명시한다.
CVE-2026-95101	분할된 알 수 없는 HTTP/3 프레임의 내용을 요청 본문으로 잘못 처리할 수 있다. 프록시 환경에서 백엔드 요청 주입 또는 본문 크기 제한 우회 가능성이 있다.	HTTP/3와 백엔드 프록시 사용 환경을 우선 확인한다.
CVE-2026-97205	대기 중인 비동기 작업 카운터 오버플로로 사용 중인 요청 메모리가 해제될 수 있다. 메모리 손상 또는 서비스 거부 가능성이 있다.	구체적인 노출 설정을 임의로 한정하지 말고 수정 패키지 적용 대상으로 관리한다.
CVE-2026-97629	worker 사이 TLS 세션 티켓 키 동기화가 불완전하면 초기화되지 않은 키 재료를 사용할 수 있다. 위조 TLS 세션과 클라이언트 인증서 인증 우회 가능성이 있다.	클라이언트 인증서를 접근 통제로 사용하는 서비스를 우선 점검한다. 세부 발생 조건은 추가 확인이 필요하다.

취약점별 영향과 대응 판단 — 계속 1

F5 CNA는 앞의 두 취약점에 대해 worker 재시작을 일으키는 힙 버퍼 오버플로와 서비스 거부 가능성을 설명한다. 코드 실행은 ASLR이 꺼져 있거나 공격자가 ASLR을 우회할 수 있는 조건에서 가능하다고 기술한다. 또한 두 건은 제어 평면이 아닌 데이터 평면 문제라고 명시한다.

영향 버전과 backport 해석

배포 대상	확인된 영향 범위	수정 기준
Debian 13 trixie의 nginx	DSA가 취약점 5건을 수정 대상으로 명시한다. 각 CVE의 정확한 최초 영향 패키지 버전은 제공되지 않았다.	`1.26.3-3+deb13u10`
다른 Debian 릴리스·외부 저장소·직접 빌드	이번 Debian 공지만으로 정확한 영향과 수정 패키지를 확정할 수 없다.	해당 공급 경로의 공식 보안 상태를 별도로 확인한다.

영향 버전과 backport 해석 — 계속 2

Debian은 보안 수정을 기존 버전에 backport할 수 있다. 따라서 nginx -v에 표시되는 upstream 버전 숫자만으로 취약 여부를 판단하면 안 된다. 특히 CVE-2026-93479는 이전 보안 backport가 trixie에 영향 코드를 도입했다는 설명이 있어 Debian 패키지 전체 버전과 출처를 확인해야 한다.

제공된 F5 CNA 발췌에는 NGINX Plus와 Open Source의 영향 범위도 있지만, 이 글의 업데이트 기준은 Debian 패키지다. Debian 수정판을 다른 배포판이나 직접 빌드에 적용되는 버전 기준으로 사용하지 않는다.

대응 우선순위와 공식 완화책

인터넷에 노출된 서비스 중 관련 설정이 확인된 시스템, HTTP/3 프록시, 클라이언트 인증서를 사용하는 서비스부터 업데이트 일정을 잡는다. 이는 기능과 피해 가능성에 따른 운영 우선순위이며, 현재 설치의 침해나 실제 악용을 확인했다는 뜻은 아니다.

F5 CNA가 제공한 CVE-2026-15176과 CVE-2026-93479의 평가는 각각 CVSS v3.1 8.1 High, CVSS v4.0 9.2 Critical이다. 다른 세 CVE의 등급과 실제 악용·KEV 등재 여부는 제공 자료로 확인되지 않았다.

기본 조치는 Debian이 권고한 nginx 패키지 업데이트다.
CVE-2026-15176의 공식 우회책은 location에서 alias 사용을 피하거나 $request_filename 사용을 피하는 것이다. 경로 매핑과 로그 동작에 미치는 영향을 검토한 뒤 적용한다.
CVE-2026-93479의 공식 완화책은 이름 없는 캡처를 사용하지 않고 이름 있는 캡처를 사용하며, 사용 범위를 정규식이 일치하는 블록 안으로 제한하는 것이다.
나머지 세 건은 제공 자료에서 별도 공식 완화책이 확인되지 않았다. 임의 설정 변경을 패치의 대체책으로 제시하지 않는다.

업데이트 전 읽기 전용 점검표

아래 명령은 상태 조회용이며 업데이트나 재시작을 수행하지 않는다. 실행 경로와 권한은 운영 환경에 맞춰 확인한다.

업데이트 전 읽기 전용 점검표 · bash

cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\n' 'nginx*'
apt-cache policy nginx
nginx -v
nginx -t
systemctl status nginx --no-pager

업데이트 전 읽기 전용 점검표 — 계속 3

Debian 13 trixie인지 확인하고, nginx 패키지의 전체 버전과 설치 출처를 기록한다.
저장소 후보 버전이 수정판을 제공하는지 확인한다. 로컬 패키지 목록이 오래됐다면 후보 버전 조회만으로 최신 제공 상태를 확정하지 않는다.
실제 사용하는 설정과 포함 파일에서 alias, rewrite, $request_filename, 정규식 map과 캡처 변수, 가변 경로를 검토한다.
HTTP/3 사용, 백엔드 프록시 연결, 클라이언트 인증서 인증, TLS 세션 티켓 설정을 확인한다. 키워드 존재만으로 취약성을 확정하지 않는다.
설정과 키 경로 등 민감한 운영 정보를 외부 점검 기록에 그대로 복사하지 않는다.

업데이트와 정상 업무 확인

승인된 운영 변경 절차로 Debian 보안 패키지를 적용하고, 패키지 안내와 운영 방식에 따라 수정된 바이너리가 실행되도록 서비스 전환을 완료한다. 패키지 설치 버전 확인과 실행 중인 서비스 확인을 함께 수행한다.

설치 버전이 1.26.3-3+deb13u10 또는 해당 수정이 포함된 후속 Debian 패키지인지 확인한다.
설정 검사와 서비스 상태를 확인하고 worker 비정상 종료, 오류 로그, 응답 지연을 기존 기준과 비교한다.
정적 파일 경로, URI 재작성, 로그 기록, 백엔드 연결 등 정상 업무 경로를 확인한다.
사용하는 환경에서는 HTTP/3 정상 요청과 정상 클라이언트 인증서의 업무 접근을 확인한다.
설정 완화책을 적용했다면 파일 매핑, 변수 평가, 로그 경로가 의도대로 유지되는지 확인한다.

업데이트와 정상 업무 확인 — 계속 4

이 문서는 점검·침해 조사·패치 적용 결과를 보고하는 문서가 아니다. 공격 재현 없이 정상 업무 확인과 운영 지표 비교를 수행하기 위한 초안이다.

근거와 수집 확인일

Debian DSA-6575-1은 2026년 10월 21일 공지이며, 제공된 원본의 수집 시각은 2026년 10월 25일 22:21 UTC다. 이 자료에서 취약점 5건, trixie 수정 버전, 업데이트 권고를 확인했다.

F5가 CNA로 제공한 CVE-2026-15176 기록과 CVE-2026-93479 기록의 수집·확인 시각은 2026년 11월 1일 03:04 UTC다. 제공 메타데이터상 원문 전체는 잘림 표시가 있으나, 선택된 CNA 발췌는 잘리지 않았으며 영향 조건과 완화책이 포함돼 있다. 전체 원문을 완전히 확인한 것으로 취급하지 않았다.

F5 공급사 공지 두 페이지는 수집 실패로 기록돼 있어 직접 확인 근거로 사용하지 않았다. 후속 CNA 자료를 원래 Debian 사건과 함께 검토했으며, 별도 사건이나 새 발행으로 해석하지 않았다.

남은 불확실성과 편집 계획

각 CVE의 정확한 최초 영향 Debian 패키지 버전, 다른 배포판의 수정 상태, 일부 취약점의 세부 발생 조건은 이번 자료만으로 확정할 수 없다. CVE-2026-93479 기록의 datePublic은 2023년으로 표시돼 2026년 공개 메타데이터와 차이가 있으므로 최초 공개일 판단에 사용하지 않았다.

설명 도식은 일반적인 운영 흐름인 ‘패키지 출처 확인 → 관련 설정 검토 → Debian 수정판 적용 → 정상 업무 확인’을 보여주는 형태로 준비한다. OG는 Debian 13과 수정 패키지 버전을 중심으로 구성하고, alt 문구는 ‘Debian 13 nginx의 패키지 버전과 설정을 점검하고 보안 업데이트 후 정상 업무를 확인하는 흐름’으로 계획한다. 이미지 제작이나 게시를 완료한 상태는 아니다.

이 글은 자동 수집 자료를 바탕으로 AI 작성 보조를 사용했다. 외부 원문 재접속, 서명 검증, 서버 변경은 수행하지 않았다. 관련 운영 점검 주제는 보안 허브에서 함께 정리한다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

각 CVE의 정확한 최초 영향 Debian 패키지 버전과 다른 배포판의 수정 상태는 제공 자료에서 확인되지 않는다.
F5 공급사 공지 두 페이지는 수집 실패이며, CNA 원문 전체에는 잘림 표시가 있다. 사용한 선택 발췌는 잘리지 않은 것으로 표시돼 있다.
CVE-2026-93479의 datePublic과 2026년 공개 메타데이터가 달라 최초 공개일을 확정하지 않았다.
CVE-2026-97205와 CVE-2026-97629의 세부 발생 조건, 실제 악용 및 KEV 등재 여부는 확인되지 않았다.
외부 재조회, PGP 서명 검증, 실제 설치·침해·패치 상태 확인은 수행하지 않았다.