KISA, curl·libcurl 18건 보안 업데이트 권고…8.21.0 이상 적용 필요

한국인터넷진흥원 보호나라 보안공지에 따르면 KISA는 2026년 6월 29일 curl과 libcurl에서 발생한 보안 취약점 18건에 대해 업데이트를 권고했다. 대상은 curl과 libcurl 8.21.0 미만 버전이며, KISA는 영향을 받는 버전을 사용하는 이용자에게 8.21.0 이상으로 업데이트하라고 안내했다.

curl은 명령줄에서 HTTP, HTTPS, FTP, SSH 등 여러 프로토콜로 데이터를 전송할 때 널리 쓰이는 도구다. libcurl은 같은 기능을 애플리케이션 안에 넣을 수 있게 하는 라이브러리다. 서버 운영, CI/CD, 컨테이너 이미지, 개발 도구, 보안 스캐너, 사내 자동화 스크립트에 폭넓게 포함되는 만큼 보안 업데이트는 개별 사용자보다 소프트웨어 공급망 전반에 영향을 줄 수 있다.

KISA 공지에 포함된 취약점은 인증서 검증, 세션 간 데이터 노출, 전송 과정의 정보 노출, 이중 해제, 자격 증명 보호 미흡, 캡처-재전송 방식의 인증 우회, 사용 후 해제, 무한 루프, 자원 제한 미흡 등으로 나뉜다. CVE 번호 기준으로는 CVE-2026-8286, CVE-2026-8458, CVE-2026-8924, CVE-2026-8925, CVE-2026-8926, CVE-2026-8927, CVE-2026-8932, CVE-2026-9079, CVE-2026-9080, CVE-2026-9545, CVE-2026-9546, CVE-2026-9547, CVE-2026-10536, CVE-2026-11352, CVE-2026-11564, CVE-2026-11586, CVE-2026-11856, CVE-2026-12064가 열거됐다.

curl 프로젝트의 공식 취약점 표도 curl 8.20.0에 18건의 공개 보안 문제가 있다고 설명한다. 해당 표는 8.20.0이 2026년 4월 29일 공개된 버전이며, 각 취약점의 영향 범위가 8.20.0까지 이어진다고 제시한다. KISA가 해결 버전으로 8.21.0 이상을 안내한 배경이다.

이번 취약점 묶음에서 특히 주의할 부분은 인증서와 자격 증명 처리다. KISA는 인증서 검증 부적절, 호스트 불일치 인증서 검증 미흡, 민감정보 노출, 자격 증명 보호 미흡, 인증 우회 유형을 함께 언급했다. curl과 libcurl이 원격 서버와의 연결, 프록시, 인증 헤더, 쿠키, 클라이언트 인증서 같은 민감한 흐름을 다루는 도구라는 점에서 개발·운영 환경의 영향 범위를 넓게 점검할 필요가 있다.

운영자는 단순히 시스템에 설치된 curl 명령어 버전만 확인해서는 충분하지 않을 수 있다. 여러 애플리케이션이 자체 번들 libcurl을 포함하거나, 컨테이너 이미지와 빌드 환경 안에 별도 버전을 갖고 있을 수 있기 때문이다. 배포판 패키지, 컨테이너 베이스 이미지, 정적 링크된 바이너리, CI 워크플로, 사내 자동화 도구를 함께 확인해야 실제 노출 범위를 줄일 수 있다.

KISA 공지는 하단 참고 사이트를 확인해 업데이트를 수행하라고 안내했다. 기사 작성 시점 기준 KISA 공지와 curl 프로젝트 문서에서 국내 피해 사례나 실제 악용 정황은 별도로 확인되지 않았다. 다만 curl과 libcurl의 사용 범위가 넓은 만큼 조직은 패키지 관리자와 벤더 보안 공지를 통해 적용 가능 버전을 확인하고, 인터넷 연결 자동화와 인증 정보를 다루는 시스템을 우선 점검하는 것이 바람직하다.

출처: KISA 보호나라 https://www.krcert.or.kr/kr/bbs/view.do?searchCnd=&bbsId=B0000133&searchWrd=&menuNo=205020&pageIndex=1&categoryCode=&nttId=72115
출처: curl 프로젝트 https://curl.se/docs/vuln-8.20.0.html