Ubuntu 26.10 curl 보안 업데이트: USN-8927-2 수정 패키지와 점검 방법

Ubuntu 26.10 curl·libcurl 보안 업데이트의 수정 버전과 영향 조건을 정리합니다. GnuTLS WebSocket 정보 노출, 연결 재사용 오류와 배포판 backport 확인 방법을 안내합니다.

공식 보안 자료를 자동 수집하고 AI 작성 보조로 정리한 글입니다. 출처와 불확실성을 함께 표시하며 실제 공격 재현·침해 판정·개별 서비스의 패치 완료를 주장하지 않습니다.

Ubuntu 26.10에서 확인할 조치

이번 확인에서 다루는 공개 식별자: CVE-2026-107928, CVE-2026-107929, CVE-2026-86409, CVE-2026-86410, CVE-2026-86412, CVE-2026-86414, CVE-2026-87862, CVE-2026-87863, CVE-2026-87864, CVE-2026-87865, CVE-2026-92386, CVE-2026-92387, CVE-2026-92388, CVE-2026-92389, CVE-2026-92390, CVE-2026-92391, CVE-2026-92392, CVE-2026-94266. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Ubuntu 공식 공지 USN-8927-2는 curl의 여러 보안 문제에 대한 Ubuntu 26.10 수정 패키지를 제시한다. 해당 릴리스에서 curl, libcurl3t64-gnutls, libcurl4t64를 사용하는 운영자는 설치된 패키지와 저장소의 업데이트 후보를 확인하고, 설치된 해당 패키지를 8.20.0-2ubuntu11.1 또는 이를 포함하는 후속 보안 업데이트로 갱신해야 한다.

이 공지는 2026년 10월 19일 발표됐으며, 앞선 USN-8927-1의 수정을 Ubuntu 26.10에 제공하는 후속 공지다. 새 취약점 공개나 실제 악용 확인으로 해석하지 않는다. 제공된 자료에는 실제 악용 또는 KEV 등재를 확인할 근거가 없다.

영향 조건과 대응 판단

문제	확인된 영향 조건과 결과	운영 판단
CVE-2026-107928	GnuTLS로 빌드한 curl의 WebSocket 전송 경로에서 악성 서버로 인해 송신 버퍼 밖 메모리가 전송될 수 있음	GnuTLS와 WebSocket 사용 여부를 확인하고 배포판 수정 패키지 적용
CVE-2026-107929	`CURLOPT_INTERFACE` 또는 `--interface`에 `if!`, `host!`, `ifhost!` 접두사를 사용하고 연결을 재사용할 때 이전 전송의 출발지 주소가 사용될 수 있음	출발지 주소 분리가 필요한 작업의 설정과 연결 재사용 여부 확인 후 업데이트
CVE-2026-92388	libcurl FTP 와일드카드 처리의 해제 후 사용으로 충돌 또는 임의 코드 실행 가능	해당 기능을 사용하는 서비스는 업데이트 일정을 우선 검토
CVE-2026-92392	HTTP/2 업로드 중 서버의 RST_STREAM 응답 처리에서 해제 후 사용으로 충돌 또는 임의 코드 실행 가능	HTTP/2 업로드를 수행하는 서비스를 우선 점검
공지에 포함된 나머지 문제	인증 상태, 프록시 인증, SSH 호스트 검증, 쿠키, HSTS, IMAP, TFTP, MIME, 파일 저장 및 URL 정보 처리 등에서 정보 노출·서비스 거부·파일 손상 등의 가능성	해당 기능 사용 여부를 확인하되, 기능별 점검을 이유로 패키지 업데이트를 불필요하게 미루지 않음

영향 조건과 대응 판단 — 계속 1

위 표의 임의 코드 실행 가능성은 공식 공지가 설명한 잠재적 영향이다. 실제 공격 발생이나 모든 설치의 노출을 뜻하지 않는다. 개별 취약점의 등급이 제공되지 않은 경우 Critical 또는 High로 임의 분류하지 않는다.

Low 등급 문제도 수정 대상이다

Ubuntu는 CVE-2026-107928의 우선순위를 Low로 표시하고, 업스트림도 낮은 심각도로 정의했다고 설명한다. 이 문제만으로 긴급 침해 대응을 선언할 근거는 없지만, 정확한 수정 패키지가 있으므로 정상적인 보안 업데이트 대상이다.

CVE 등록 자료에는 CVE-2026-107928의 영향 버전으로 7.86.0부터 8.22.0까지의 개별 릴리스가, CVE-2026-107929에는 8.9.0부터 8.22.0까지의 개별 릴리스가 열거돼 있다. 다만 두 자료 모두 원본 잘림 표시가 있어 이 목록을 완전한 업스트림 영향 범위나 수정 버전의 근거로 확장하지 않는다. 특히 다음 버전이 자동으로 수정판이라고 추정해서는 안 된다.

수정 버전과 배포판 backport

공식 자료의 적용 범위	패키지 또는 취약점	확인된 상태
USN-8927-2, Ubuntu 26.10	`curl`	8.20.0-2ubuntu11.1에서 수정
USN-8927-2, Ubuntu 26.10	`libcurl3t64-gnutls`	8.20.0-2ubuntu11.1에서 수정
USN-8927-2, Ubuntu 26.10	`libcurl4t64`	8.20.0-2ubuntu11.1에서 수정
Ubuntu CVE 페이지, Ubuntu 26.04 LTS	CVE-2026-107928의 `curl`	8.18.0-1ubuntu2.8에서 수정
Ubuntu CVE 페이지, Ubuntu 24.04 LTS 및 표에 기재된 이전 LTS	CVE-2026-107928	영향 없음

수정 버전과 배포판 backport — 계속 2

Ubuntu는 26.04 이후에 WebSocket 지원을 기본 빌드에 포함하므로, 24.04 및 이전 릴리스는 CVE-2026-107928의 영향을 받지 않는다고 설명한다. 이 영향 없음 판정을 다른 CVE까지 확대하면 안 된다. Ubuntu 26.04의 위 수정 버전 역시 이 자료에서 확인된 CVE-2026-107928에 한정한다.

배포판은 기존 업스트림 버전에 보안 수정을 backport할 수 있다. 따라서 8.20.0 같은 앞부분만 보고 취약 여부를 판단하지 말고 -2ubuntu11.1을 포함한 전체 패키지 버전과 해당 릴리스의 공식 상태를 비교한다. 자체 빌드나 애플리케이션에 포함된 curl에는 이 Ubuntu 패키지 판정을 그대로 적용할 수 없다.

읽기 전용 점검표

다음 명령은 운영자가 환경 확인에 사용할 예시이며, 이 글을 작성하면서 실행하지 않았다.

읽기 전용 점검표 · bash

cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\n' curl libcurl3t64-gnutls libcurl4t64
apt-cache policy curl libcurl3t64-gnutls libcurl4t64
curl --version

읽기 전용 점검표 — 계속 3

운영체제가 Ubuntu 26.10인지 확인한다.
설치된 해당 패키지의 전체 버전과 업데이트 후보를 기록한다. 설치하지 않은 패키지의 조회 오류는 취약 판정이 아니다.
apt-cache policy는 로컬 패키지 목록을 사용하므로 목록이 오래됐다면 최신 보안 업데이트 제공 여부를 확정할 수 없다.
curl --version으로 명령행 도구의 TLS 백엔드와 프로토콜 정보를 확인한다. 별도 libcurl을 쓰는 애플리케이션의 빌드까지 대표하지는 않는다.
서비스·컨테이너·번들 프로그램이 배포판 libcurl과 자체 포함 libcurl 중 무엇을 사용하는지 자산 목록과 빌드 기록으로 확인한다.
GnuTLS WebSocket, 인터페이스 바인딩과 연결 재사용, FTP 와일드카드, HTTP/2 업로드 사용 여부를 설정과 코드에서 확인한다. 인증정보가 포함된 설정을 외부에 공유하지 않는다.

업데이트와 정상 업무 확인

공식 USN은 일반적인 시스템 업데이트로 수정할 수 있다고 안내한다. 조직의 패키지 관리 절차로 Ubuntu 보안 저장소의 수정 패키지를 적용하고, 업데이트 뒤 전체 패키지 버전을 다시 확인한다. CVE 페이지는 개별 패치의 선택 적용보다 배포판 업데이트 사용을 권고한다.

제공된 공식 자료에서 패키지 업데이트를 대체할 별도의 완화책은 확인되지 않았다. WebSocket 비활성화나 연결 재사용 변경을 검증된 공식 완화책으로 제시하지 않는다. 자체 빌드와 다른 배포판은 해당 공급사의 수정판을 추가 확인해야 한다.

장기 실행 프로세스가 갱신된 라이브러리를 사용하는지 확인하고, 필요한 서비스 재시작은 운영 절차에 따라 판단한다.
승인된 정상 서버를 대상으로 기존 HTTP·HTTPS 요청, 업로드·다운로드와 필요한 인증 흐름이 정상인지 확인한다.
WebSocket과 인터페이스 바인딩을 사용하는 업무는 정상 연결 및 의도한 출발지 주소를 확인한다.
실제 사용하는 FTP·SSH·프록시·메일 연동에서 오류율과 응답 지연이 증가하지 않는지 확인한다.
업데이트 기록과 업무 확인 결과를 남긴다. 이 문서는 패치 적용, 테스트 성공 또는 침해 부재를 확인한 보고서가 아니다.

공식 근거와 수집 확인일

USN-8927-2 공식 공지의 제공 본문에는 Ubuntu 26.10의 수정 패키지 표와 시스템 업데이트 안내가 포함돼 있다. 원본 수집 기록은 2026년 10월 25일 22:17 UTC이며, 이번 답변에서 재접속한 결과는 아니다.

Ubuntu CVE-2026-107928 상태 페이지는 2026년 11월 1일 07:48 UTC에 성공적으로 수집된 기록으로 제공됐다. Low 우선순위, 릴리스별 수정 버전과 WebSocket 빌드 조건을 확인하는 근거다.

curl CNA의 CVE-2026-107928 등록 자료와 CVE-2026-107929 등록 자료도 2026년 11월 1일 07:48 UTC 수집 기록이 있다. 선택된 CNA 필드에는 영향 조건이 있지만 원본 잘림 표시가 남아 있어 완전한 원문 확인으로 취급하지 않는다.

다른 운영체제와 제품의 대응 글은 보안 허브에서 함께 살펴볼 수 있다.

편집 판단과 남은 불확실성

이 글은 심각도 키워드보다 Ubuntu 26.10의 명확한 수정 패키지와 실행 가능한 업데이트 조치를 근거로 선정했다. 같은 사건의 원본 공지와 후속 수집 자료를 합쳐 검토했으며, 별도 사건이나 새 발행 완료로 주장하지 않는다. 기존 게시 URL은 제공되지 않았다.

업스트림의 정확한 수정 릴리스, CVE-2026-107929의 Ubuntu 26.04 상태, 나머지 CVE의 다른 릴리스별 상태와 개별 심각도는 제공 자료만으로 확정하지 않았다. 현재 저장소 상태와 각 조직의 설치·침해 여부도 확인하지 않았다.

설명 도식은 운영체제 확인에서 전체 패키지 버전 비교, 사용 기능 점검, 업데이트, 정상 업무 확인으로 이어지는 흐름을 문장으로 구성한다. OG 이미지에는 Ubuntu 26.10, USN-8927-2와 수정 패키지 버전을 표시할 계획이다. 대체 텍스트는 ‘Ubuntu 26.10 curl 보안 업데이트의 수정 버전과 운영 점검 흐름’으로 준비한다. 실제 이미지는 생성하지 않았다.

이 글은 제공된 자동 수집 자료를 바탕으로 AI가 사실 정리와 초안 작성을 보조했다. 외부 조회, 명령 실행, 실제 게시 및 서버 변경은 수행하지 않았다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

두 CNA 자료에 원본 잘림 표시가 있어 완전한 업스트림 영향 범위와 수정 릴리스는 확정하지 않았다.
Ubuntu 26.04 수정 버전과 이전 LTS의 영향 없음 상태는 CVE-2026-107928에 한정하며 다른 CVE로 일반화하지 않았다.
USN 본문은 원본 수집 자료이며 2026년 11월 1일 새로 확인한 공지로 취급하지 않았다.
실제 악용, KEV 등재, 운영 환경의 설치·침해 여부, 패치 및 테스트 완료는 확인하지 않았다.