Ubuntu nginx 보안 업데이트: USN-8955-1 수정판과 설정 점검

Ubuntu 22.04~26.10 nginx 보안 업데이트의 릴리스별 수정 패키지와 취약 조건을 정리합니다. 배포판 backport, 공식 완화책, 읽기 전용 점검과 업데이트 후 확인 항목을 안내합니다.

공식 보안 자료를 자동 수집하고 AI 작성 보조로 정리한 글입니다. 출처와 불확실성을 함께 표시하며 실제 공격 재현·침해 판정·개별 서비스의 패치 완료를 주장하지 않습니다.

Ubuntu nginx 운영자가 확인할 조치

이번 확인에서 다루는 공개 식별자: CVE-2026-15176, CVE-2026-93479, CVE-2026-95101, CVE-2026-97205, CVE-2026-97629. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.

Ubuntu 공식 공지 USN-8955-1은 nginx 취약점 5건을 수정하는 패키지를 제공합니다. Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS, 26.10에서 배포판 nginx 패키지를 사용한다면 설치 버전과 저장소의 업데이트 후보를 확인하고 해당 릴리스의 보안 수정 패키지를 적용해야 합니다.

이 글은 같은 사건의 원본 공지와 후속 수집 자료를 함께 검토한 글입니다. 기존 게시 URL은 제공되지 않았으며, 게시나 패치 완료를 의미하지 않습니다. 관련 운영 지침은 보안 허브에서도 확인할 수 있습니다.

취약 조건과 대응 우선순위

모든 nginx 설치에서 같은 영향이 발생하는 것은 아닙니다. Ubuntu 릴리스, 설치 패키지, 활성 설정을 함께 확인해야 합니다.

CVE	공식 자료에서 확인되는 영향 조건	가능한 영향	운영 판단
CVE-2026-15176	`alias`와 `rewrite`, 그리고 `$request_filename`을 참조하는 `set` 또는 `return`을 사용하는 location 구성. 접근 로그 형식에서 해당 변수를 사용하는 경로도 설명됨	worker 프로세스 재시작과 서비스 거부. ASLR이 꺼져 있거나 우회되는 조건에서 코드 실행 가능	해당 설정이 있고 외부 요청을 처리하면 우선 대응
CVE-2026-93479	정규식 `map`의 출력 변수보다 캡처 변수를 `root` 또는 접근 로그 형식에서 먼저 참조하는 구성. 특정 비캐시 변수 문자열 표현식도 관련됨	worker 프로세스 재시작과 서비스 거부. ASLR이 꺼져 있거나 우회되는 조건에서 코드 실행 가능	변수 참조 순서와 캡처 사용 범위를 확인하고 우선 대응
CVE-2026-95101	Ubuntu 26.04 LTS·26.10에서 HTTP/3 요청과 `proxy_request_buffering` 활성 조건	프록시 요청에 데이터 주입 가능	해당 기능을 사용하는 프록시를 우선 점검
CVE-2026-97205	SSI 페이지를 사용하는 특정 비동기 파일 I/O 구성	서비스 거부 또는 임의 코드 실행 가능	SSI와 비동기 I/O를 함께 사용하는 서비스 점검
CVE-2026-97629	Ubuntu 24.04 LTS·26.04 LTS·26.10에서 공유 세션 캐시를 사용하면서 명시적인 세션 티켓 키 교체가 없는 구성	클라이언트 SSL 세션 위조와 클라이언트 인증서 검증 우회 가능	클라이언트 인증서를 접근 통제에 사용하는 서비스 우선 점검

취약 조건과 대응 우선순위 — 계속 1

F5가 제공한 CVE-2026-15176·CVE-2026-93479의 CNA 필드는 각각 CVSS 3.1 8.1 High, CVSS 4.0 9.2 Critical을 기록합니다. Ubuntu는 CVE-2026-15176의 배포판 대응 우선순위를 Medium으로 표시합니다. 점수 체계와 배포판 우선순위는 구분해야 합니다. 나머지 세 CVE의 개별 등급은 제공 자료에서 확인되지 않습니다.

앞의 두 CVE는 데이터 플레인 문제로 설명되며 제어 플레인 노출은 없다고 명시되어 있습니다. 실제 악용이나 KEV 등재 여부는 제공 자료로 확인되지 않으며, 취약 조건만으로 현재 침해를 판단할 수 없습니다.

Ubuntu 릴리스별 수정 패키지

USN-8955-1은 다음 패키지 버전으로 업데이트하도록 안내합니다. 각 행의 버전은 nginx, nginx-core, nginx-extras, nginx-full, nginx-light에 공통으로 제시되어 있습니다. 실제 설치된 패키지를 기준으로 적용 대상을 확인합니다.

Ubuntu 릴리스	USN에 제시된 수정 버전
26.10	`1.30.4-7ubuntu1.1`
26.04 LTS	`1.28.3-2ubuntu1.12`
24.04 LTS	`1.24.0-2ubuntu7.19`
22.04 LTS	`1.18.0-6ubuntu14.22`

Ubuntu 릴리스별 수정 패키지 — 계속 2

Ubuntu는 배포판 패키지에 보안 수정을 backport합니다. 따라서 업스트림 버전 숫자가 낮다는 이유만으로 미수정 상태라고 판단하면 안 됩니다. 릴리스와 Ubuntu 패키지의 전체 버전을 비교하고, 저장소에서 제공하는 해당 릴리스의 후속 보안 업데이트도 확인합니다.

이 표는 위 네 Ubuntu 릴리스에 대한 대응 기준입니다. NGINX Plus, 직접 빌드한 nginx, 외부 저장소 패키지에는 그대로 적용할 수 없습니다. 또한 CVE별 영향 조건이 다르므로 이 표를 다섯 취약점이 모든 릴리스에서 동일하게 발생한다는 뜻으로 읽어서는 안 됩니다.

Ubuntu CVE-2026-15176 상태 문서는 더 오래된 Ubuntu 릴리스의 Pro·Legacy Support 수정 상태도 제공합니다. 그 상태를 다른 네 CVE에 확대 적용하지 않습니다.

패치와 공식 임시 완화책

Ubuntu 공지는 일반적인 시스템 업데이트로 필요한 변경을 적용할 수 있다고 안내합니다. 조직의 변경 절차에 따라 보안 업데이트를 적용하고, 실제 실행 중인 nginx가 수정된 패키지를 사용하는지 확인합니다. 제공 자료에는 모든 환경에 공통인 별도 재부팅·재시작 지침이 없으므로 패키지 처리 결과와 서비스 상태를 확인해야 합니다.

패치 적용 전 설정 변경이 필요하다면 F5 CNA 필드에서 다음 완화책을 확인할 수 있습니다.

CVE-2026-15176: location에서 alias 사용을 피하고, $request_filename 변수 사용을 피합니다.
CVE-2026-93479: 이름 없는 캡처를 사용하지 않고 이름 있는 캡처를 사용하며, 사용 범위를 정규식이 일치하는 블록 안으로 제한합니다.

패치와 공식 임시 완화책 — 계속 3

이는 단순 문자열 치환으로 끝나는 변경이 아닙니다. 파일 경로 매핑, 로그, 정규식 캡처를 사용하는 업무 동작에 영향을 줄 수 있으므로 설정 검증과 정상 요청 확인을 거쳐 적용합니다. 나머지 세 CVE에 대한 별도 공식 임시 완화책은 제공 자료에서 확인되지 않았으므로 임의의 설정 변경을 공식 대응으로 제시하지 않습니다.

읽기 전용 점검표

다음 명령은 운영자가 환경을 확인하기 위한 예시입니다. 이 검토 과정에서 실행하지 않았습니다.

읽기 전용 점검표 · bash

cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' 'nginx*'
apt-cache policy nginx nginx-core nginx-extras nginx-full nginx-light
nginx -v
systemctl status nginx --no-pager

읽기 전용 점검표 — 계속 4

Ubuntu 릴리스와 nginx 패키지의 공급 저장소를 확인합니다. 컨테이너나 별도 바이너리는 호스트 패키지 조회만으로 판정하지 않습니다.
설치 버전을 위 표와 비교합니다. apt-cache policy의 후보 버전은 로컬 저장소 메타데이터의 최신성에 영향을 받습니다.
권한이 있는 설정 파일과 include 파일을 읽어 alias, rewrite, $request_filename, 정규식 map 및 캡처 참조 순서를 확인합니다.
HTTP/3와 proxy_request_buffering, SSI와 비동기 I/O, 공유 SSL 세션 캐시와 티켓 키 교체 구성을 확인합니다.
단순 키워드 존재 여부만으로 영향 유무를 확정하지 않습니다. 설정 문맥과 변수 사용 경로를 함께 검토합니다.
기존 오류 로그와 worker 재시작 기록을 확인하되, 해당 기록만으로 취약점 악용을 단정하지 않습니다.

업데이트 후 정상 업무 확인

패키지 업데이트 후에는 설치 버전과 실행 프로세스 반영 여부를 확인하고, nginx 설정 검사 결과와 서비스 상태를 점검합니다. 설정 검사는 nginx -t로 수행할 수 있습니다.

대표 웹 요청과 프록시 업무 흐름이 정상인지 확인합니다.
alias로 제공하는 파일 경로와 접근 로그가 정상인지 확인합니다.
사용하는 환경에서는 HTTP/3 요청, SSI 페이지, 클라이언트 인증서 기반 접근 통제를 확인합니다.
정상 인증서의 접근 성공과 승인되지 않은 클라이언트의 접근 거부가 유지되는지 확인합니다.
오류율, 지연 시간, worker 재시작 및 로그 변화를 관찰합니다.

업데이트 후 정상 업무 확인 — 계속 5

이 항목은 운영 확인 계획이며, 패치 적용이나 테스트 성공을 보고하는 내용이 아닙니다.

근거와 확인 범위

원본 Ubuntu 보안 공지 USN-8955-1의 발행일은 2026년 10월 26일입니다. 제공된 원본 수집 시각은 2026년 11월 5일 21:00 UTC, 한국 시각으로 2026년 11월 6일 06:00입니다. 후속 Ubuntu CVE 문서와 CNA 필드는 같은 날 21:14 UTC, 한국 시각으로 2026년 11월 6일 06:14에 수집·확인된 것으로 기록되어 있습니다. 이 글은 제공된 수집본을 검토했으며 별도로 원문에 접속하지 않았습니다.

F5 CNA의 CVE-2026-15176 기록과 CVE-2026-93479 기록은 영향 조건과 완화책을 보강합니다. 선택된 CNA 필드는 잘리지 않은 것으로 표시되지만 원본 전체에는 잘림 표시가 있으므로 전체 문서를 완전 확인했다고 주장하지 않습니다.

F5 웹 공지 두 건은 수집 실패로 기록되어 있어 직접 확인 근거로 삼지 않았습니다. Ubuntu 문서에 연결된 USN-8955-2도 본문이 제공되지 않아 새로운 대응 내용으로 반영하지 않았습니다. 원본 USN 텍스트에는 중복과 깨진 연결 부분이 있지만, 다섯 CVE의 설명과 릴리스별 수정 패키지 표는 확인됩니다.

확인하지 못한 범위

아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.

F5 웹 공지 두 건은 수집 실패했으며 CNA 기록도 원본 전체에 잘림 표시가 있어 완전 확인으로 취급하지 않았다.
USN-8955-2는 링크만 제공되어 후속 공지의 구체적인 변경 사항은 확인되지 않았다.
CVE-2026-95101·CVE-2026-97205·CVE-2026-97629의 개별 심각도와 별도 임시 완화책은 제공 자료에서 확인되지 않았다.
실제 악용·KEV 등재, 운영 환경의 설치·침해 상태, 패치 및 테스트 완료 여부는 확인되지 않았다.
원본 USN 추출문에 중복과 깨진 연결 부분이 있으나 취약점 설명과 수정 패키지 표는 제공되어 있다.