Ubuntu PCRE2, 릴리스별 보안 패키지로 업데이트
이번 확인에서 다루는 공개 식별자: CVE-2026-103111, CVE-2026-86145, CVE-2026-89156, CVE-2026-89157, CVE-2026-89158, CVE-2026-89160, CVE-2026-89161, CVE-2026-89162. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Ubuntu는 2026년 11월 3일 USN-8974-1을 통해 PCRE2 취약점 8건의 수정 패키지를 안내했다. 특정 정규식 처리와 JIT 사용 조건에서 메모리 쓰기 오류가 발생할 수 있으며, 공지는 일부 문제의 잠재적 영향을 임의 코드 실행으로 설명한다. 서비스 거부와 로컬 정보 노출 문제도 포함된다.
운영자는 PCRE2 설치 여부와 Ubuntu 릴리스를 확인한 뒤 해당 배포판의 보안 업데이트를 적용해야 한다. PCRE2가 설치돼 있다는 사실만으로 모든 취약점의 발현 조건이 충족되거나 시스템이 침해됐다고 판단할 수는 없다.
영향 조건과 대응 우선순위
| 취약점 | 확인된 조건과 영향 | Ubuntu 영향 범위 |
|---|---|---|
| CVE-2026-103111 | 공격자가 제어하는 정규식과 특정 JIT API 사용 시 범위 밖 쓰기. USN은 임의 코드 실행 가능성 설명 | 18.04, 20.04, 22.04, 24.04, 26.04, 26.10 |
| CVE-2026-86145 | DFA 매칭의 메모리 관리 오류. 공격자 제어 정규식 또는 재귀 패턴과 작은 힙 제한 조건에서 범위 밖 쓰기 가능 | 20.04, 22.04, 24.04, 26.04, 26.10 |
| CVE-2026-89156, CVE-2026-89160 | 특정 입력 처리 시 서비스 거부 가능 | 20.04, 22.04, 24.04, 26.04, 26.10 |
| CVE-2026-89157 | 32비트 플랫폼에서 큰 패턴 처리 시 임의 코드 실행 가능 | 18.04, 20.04, 22.04, 24.04, 26.04, 26.10 |
| CVE-2026-89158 | 특정 패턴 처리 시 임의 코드 실행 가능. 세부 API 조건은 제공 자료에 없음 | USN은 개별 릴리스 제한을 명시하지 않음 |
| CVE-2026-89161 | 특정 패턴 처리 중 메모리 관리 오류로 임의 코드 실행 가능 | 20.04, 22.04, 24.04, 26.04, 26.10 |
| CVE-2026-89162 | 특정 상황에서 초기화되지 않은 데이터 노출. 로컬 공격자의 민감정보 획득 가능 | 26.04, 26.10 |
영향 조건과 대응 우선순위 — 계속 1
CVE-2026-103111의 Ubuntu 페이지는 Ubuntu 우선순위를 Medium, CVSS 점수를 7.6 High로 표시한다. 두 평가는 구분해서 읽어야 한다. 제공된 CNA 발췌에서 CVE-2026-86145는 CVSS 8.2 High다. 다른 취약점의 개별 등급은 제공 자료만으로 추가하지 않는다.
외부 사용자가 정규식을 제공할 수 있는 서비스, 관련 JIT 또는 DFA API를 사용하는 애플리케이션, 32비트 환경은 먼저 사용 조건을 점검할 대상이다. 조건을 아직 파악하지 못한 설치도 공식 수정 패키지 적용을 준비한다. 제공 자료에는 실제 악용이나 KEV 등재를 입증하는 내용이 없다.
수정 버전과 배포판 backport
| Ubuntu 릴리스 | USN에 기재된 수정 패키지 버전 | 제공 조건 |
|---|---|---|
| 26.10 | 10.46-1ubuntu1 | 배포판 보안 업데이트 |
| 26.04 LTS | 10.46-1ubuntu0.1 | 배포판 보안 업데이트 |
| 24.04 LTS | 10.42-4ubuntu2.2 | 배포판 보안 업데이트 |
| 22.04 LTS | 10.39-3ubuntu0.2 | 배포판 보안 업데이트 |
| 20.04 LTS | 10.34-7ubuntu0.1+esm1 | Ubuntu Pro 필요 |
| 18.04 LTS | 10.31-2ubuntu0.1~esm2 | Ubuntu Pro의 ESM Apps 필요 |
| 16.04 LTS | 10.21-1ubuntu0.1~esm1 | USN 수정 표에 기재됨. 저장소 접근 조건은 별도 확인 필요 |
수정 버전과 배포판 backport — 계속 2
각 행의 버전은 libpcre2-8-0, libpcre2-16-0, libpcre2-32-0, libpcre2-dev, pcre2-utils에 적용된다. POSIX 패키지는 22.04부터 26.10까지 libpcre2-posix3, 20.04는 libpcre2-posix2, 18.04와 16.04는 libpcre2-posix0다. 설치된 패키지만 점검하면 된다.
제공된 CNA 발췌의 업스트림 영향 범위는 CVE-2026-103111이 10.49 미만, CVE-2026-86145가 10.32 이상 10.48 미만이다. Ubuntu는 기존 버전 계열에 보안 수정을 backport하므로, 업스트림 숫자보다 낮다는 이유만으로 위 수정 패키지를 취약하다고 판단하면 안 된다. Ubuntu 설치는 전체 패키지 버전을 기준으로 확인한다.
Ubuntu 16.04가 USN 수정 표에 포함됐다고 해서 8건 모두의 영향을 받는 것은 아니다. CVE-2026-103111의 Ubuntu 페이지는 16.04를 영향 없음으로 명시한다.
읽기 전용 점검표
다음 명령은 릴리스, 설치 패키지, 로컬 APT 메타데이터의 후보 버전을 조회한다. 패키지 설치나 저장소 갱신은 수행하지 않는다.
cat /etc/os-release
dpkg-query -W -f='${binary:Package}\t${Version}\t${Status}\n' 'libpcre2*' 'pcre2-utils'
apt-cache policy libpcre2-8-0 libpcre2-16-0 libpcre2-32-0 libpcre2-dev libpcre2-posix0 libpcre2-posix2 libpcre2-posix3 pcre2-utils읽기 전용 점검표 — 계속 3
- 설치 상태가 실제 설치 완료인지 확인하고 릴리스에 맞는 수정 버전과 비교한다. 문자열의 사전식 순서로 버전을 비교하지 않는다.
- APT 후보 버전은 로컬 메타데이터에 의존한다. 오래된 메타데이터의 결과로 최신 수정판 제공 여부를 단정하지 않는다.
- 애플리케이션 설정과 의존성 목록에서 사용자 정규식 입력, JIT, DFA API, 32비트 실행 환경 사용 여부를 확인한다.
- 컨테이너와 애플리케이션 내장 PCRE2는 호스트 패키지와 별도로 조사한다. Ubuntu 패키지 업데이트만으로 이 사본의 수정까지 확인됐다고 기록하지 않는다.
- 20.04와 18.04는 필요한 Ubuntu Pro 및 ESM 저장소 접근 상태를 확인한다.
공식 조치와 업데이트 후 업무 확인
USN은 표준 시스템 업데이트로 문제를 수정할 수 있다고 안내한다. 조직의 패키지 관리 절차에 따라 해당 릴리스의 공식 보안 업데이트를 적용하고, 설치된 PCRE2 관련 패키지가 표의 수정 버전 또는 이를 대체하는 공식 후속 버전인지 확인한다. Ubuntu CVE 페이지는 개별 패치를 선별 적용하는 방식을 권장하지 않는다.
제공된 공식 자료에는 검증된 설정 변경이나 별도 임시 완화책이 없다. JIT 비활성화 등을 8건 전체의 공식 대체 조치로 제시하지 않는다. USN에는 일괄 재부팅이나 특정 서비스 재시작 요구도 명시돼 있지 않으므로, 라이브러리를 사용하는 프로세스의 재시작 필요성은 운영 절차에 따라 판단한다.
- 업데이트 후 설치 버전을 다시 조회하고 적용 기록을 남긴다.
- 검색, 입력 검증, 로그 처리 등 실제 PCRE2 사용 업무가 정상 동작하는지 일반적인 입력으로 확인한다.
- 서비스 오류율, 충돌 기록, 처리 지연을 확인하고 변경 전 기준과 비교한다.
- 컨테이너나 내장 라이브러리는 별도 배포 결과를 확인한다.
공식 조치와 업데이트 후 업무 확인 — 계속 4
이 글은 점검과 대응 지침이며, 실제 환경의 테스트·침해 조사·패치 완료를 보고하지 않는다.
편집 판단과 설명 자료 계획
| 판단 항목 | 근거와 결론 |
|---|---|
| 실행 가능한 조치 | USN에 릴리스별 수정 패키지와 표준 업데이트 지침이 있어 초안 작성 가능 |
| 우선순위 | 코드 실행 가능성과 구체적 입력·API 조건을 기준으로 점검 순서 결정. Medium도 수정 대상에 포함 |
| 사건 중복 | 같은 USN의 원본과 추가 공식 자료를 함께 검토한 후속 초안. 별도 신규 사건이나 발행 완료로 취급하지 않음 |
| 확인 한계 | 설치 현황, 악용 여부, 실제 업데이트 결과는 확인하지 않음 |
편집 판단과 설명 자료 계획 — 계속 5
설명 도식은 Ubuntu 릴리스 확인, PCRE2 패키지 확인, 입력 및 API 조건 확인, 수정 패키지 적용, 정상 업무 확인의 흐름으로 구성한다. OG 이미지는 공지 번호와 릴리스별 패키지 확인이라는 핵심 조치를 표시할 계획이다. 대체 텍스트는 ‘Ubuntu PCRE2 보안 업데이트의 릴리스별 수정 버전과 점검 흐름’으로 준비한다. 이미지 제작은 수행하지 않았다.
관련 운영 점검 주제는 보안 허브에서 이어서 볼 수 있다.
원문·수집 확인일·남은 불확실성
주요 근거는 Ubuntu USN-8974-1과 Ubuntu CVE-2026-103111이다. 세부 조건은 CVE-2026-103111 CNA 발췌, CVE-2026-86145 CNA 발췌를 보조 근거로 사용했다.
제공 기록상 USN 수집 시각은 2026-11-03 21:00:04 UTC, 추가 문서 수집·확인 시각은 2026-11-03 21:04:48 UTC다. 한국 시각으로 각각 2026-11-04 06:00:04, 06:04:48이다. 이번 편집 과정에서 외부 재조회는 수행하지 않았다.
CNA 자료는 선택된 필드 발췌가 잘리지 않은 것으로 표시되지만 원본 전체는 잘림 상태다. 공급사 권고문 전체를 확인했다고 주장하지 않는다. CVE-2026-89158의 세부 발현 조건, 나머지 취약점의 정확한 업스트림 경계, 16.04의 저장소 접근 조건은 제공 자료만으로 확정하지 않았다. Ubuntu 운영자 조치는 완전한 USN 수정 표를 기준으로 안내한다.
이 글은 자동 수집된 공식 문서 사본을 바탕으로 AI가 작성 보조했다. 실제 게시나 서버 변경은 수행하지 않았다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- CNA 원본 전체는 잘림 상태이며 공급사 권고문 전문은 제공되지 않았다. 선택 필드 발췌만 보조 근거로 사용했다.
- CVE-2026-89158의 세부 발현 조건과 일부 취약점의 정확한 업스트림 영향·수정 경계는 확인되지 않았다.
- Ubuntu 16.04 수정 패키지의 저장소 접근 조건은 제공된 USN 표에 명확히 표시되지 않았다.
- 운영 환경의 설치·노출·침해 여부, 실제 악용, 패치 적용 결과는 확인하지 않았다.
- 수집 이후 공식 문서 변경 여부는 외부 재조회 없이 확인할 수 없다.