Java SE·OpenJDK 보안 통신 취약점과 업데이트 안내

무슨 일이 생겼나요

KISA 보호나라는 2026-10-23 Oracle의 Java SE, GraalVM for JDK, GraalVM Enterprise Edition과 OpenJDK에 대한 보안 업데이트를 권고했어요. 보안 통신을 잠금장치가 달린 우편함에 비유하면, 이번 문제는 그 잠금장치를 믿고 주고받는 정보의 보호에 영향을 줄 수 있는 결함이에요. 화면에 보이는 앱뿐 아니라 그 앱을 실행하는 Java 환경도 확인해야 해요.

이번 권고에서 다루는 취약점은 CVE-2026-91403이에요. Java의 보안 통신 기능과 관련이 있으며, 공격이 성공하면 해당 Java 환경이 접근할 수 있는 중요한 정보를 허가 없이 읽거나 데이터를 만들고 지우고 바꿀 수 있어요. 실제 영향 범위는 Java로 실행하는 프로그램이 어떤 정보를 다루고 어디까지 접근할 수 있는지에 따라 달라져요.

NVD는 취약점의 식별 정보와 위험 평가를 정리하는 데이터베이스예요. CVE-2026-91403의 NVD 게시일은 2026-10-21이고, 심각도는 CRITICAL로 분류돼 있어요. CISA KEV는 실제 악용이 확인된 취약점을 관리하는 목록이에요. 이 취약점은 CISA KEV 에는 아직 등재되지 않았다.

기술적으로는 (초급 개발자용)

문제가 지목된 구성 요소는 JSSE예요. Java 프로그램에서 보안 통신을 처리하는 기능이라고 이해하면 돼요. 취약점 분류는 CWE-327로, 안전하지 않거나 위험한 암호 알고리즘 사용을 뜻해요. 다만 이 분류만으로 문제가 된 구체적인 암호 알고리즘이나 내부 처리 과정을 특정할 수는 없어요. 특정 암호 설정을 바꾸면 해결된다고 판단해서도 안 돼요.

공격 조건에서 주목할 부분은 공격자가 사전에 인증을 받지 않아도 네트워크를 통해 공격을 시도할 수 있다는 점이에요. 인증은 사용자가 누구인지 확인하는 절차예요. 관련 API, 즉 프로그램이 기능을 호출하는 접점을 사용하는 과정이 공격 경로가 될 수 있어요. 예를 들어 웹 서비스가 받은 데이터를 해당 기능에 전달하는 구조라면 그 연결 지점을 살펴봐야 해요. Java를 사용한다는 사실만으로 모든 프로그램에 같은 공격 경로가 있다고 볼 수는 없어요.

공격이 성공했을 때의 영향은 정보 열람과 데이터 변경에 걸쳐 있어요. Java 프로그램이 접근할 수 있는 중요한 데이터 또는 접근 가능한 전체 데이터가 영향을 받을 수 있으며, 허가 없는 생성·삭제·수정도 포함돼요. 이를 곧바로 서버 전체의 모든 정보가 노출되거나 모든 권한이 넘어간다는 뜻으로 확대해서 해석하지는 말아야 해요.

CVSS는 취약점의 기술적 위험도를 공통 기준으로 평가하는 체계예요. 이 취약점은 CVSS 3.1 기준 9.1이며 CRITICAL로 분류돼요. 인증 없이 네트워크에서 공격을 시도할 수 있고 데이터 열람과 변경에 영향을 줄 수 있다는 점을 함께 봐야 해요. 이 점수는 개별 서버가 공격받을 확률이나 이미 피해를 입었는지를 나타내는 수치는 아니에요.

누가 영향을 받나요

일반 사용자

Java로 실행되는 프로그램을 사용하는 사람도 확인 대상이에요. Java 실행 환경은 프로그램을 실제로 구동하는 기반이에요. 평소 Java라는 이름을 직접 보지 않더라도, 사용하는 프로그램 안에 실행 환경이 함께 들어 있을 수 있어요. 별도로 설치한 Java의 상태와 프로그램에 포함된 Java의 상태를 구분해서 확인하는 것이 좋아요.

개인 사용자가 판단해야 할 핵심은 사용 중인 프로그램이 이번 영향 범위의 Java 환경을 사용하는지예요. 프로그램에 Java가 포함돼 있다면 해당 프로그램 공급사에 보안 업데이트 반영 여부를 확인해요. 프로그램이 정상적으로 실행된다는 사실만으로 CVE-2026-91403이 해결됐다고 판단할 수는 없어요.

개발자

개발자는 소스 코드의 변경 여부와 별개로 프로그램을 실행하는 Java 환경을 확인해야 해요. 특히 JSSE 기능을 호출하는 부분과 외부에서 받은 데이터를 그 기능에 전달하는 흐름을 살펴봐요. 웹 서비스가 입력을 받아 관련 API로 넘기는 구조라면, 입력이 보안 통신 기능에 도달하는 경로가 있는지 확인하는 데 의미가 있어요.

개발 환경에서 사용하는 Java와 실제 배포된 프로그램의 Java가 같은지도 확인해야 해요. 개발 환경에 패치를 적용했더라도 배포물에 포함된 실행 환경이나 서버에서 선택한 실행 환경이 영향받는 버전이면 조치가 끝난 것이 아니에요. Java SE와 GraalVM 계열은 Oracle 보안 패치를, OpenJDK는 사용하는 배포 벤더의 보안 업데이트를 기준으로 반영해요.

서버·장비 담당자

서버·장비 담당자는 운영 중인 Java 서비스와 그 서비스가 실제로 사용하는 실행 환경을 연결해서 파악해야 해요. 관리자가 직접 실행했을 때 표시되는 Java 버전과 서비스가 사용하는 Java 버전이 다를 수 있어요. 같은 서버에 있는 다른 실행 환경까지 업데이트됐다고 가정하지 말고, 서비스별로 제품명과 버전 계열을 확인해요.

점검할 영향 범위는 제품마다 달라요. Java SE는 8u511 이하, 8u511-perf 이하, 11.0.33 이하, 17.0.21 이하, 21.0.13 이하, 25.0.5 이하, 27.0.1 이하예요. GraalVM for JDK는 17.0.21 이하와 21.0.13 이하이며, GraalVM Enterprise Edition은 21.3.20 이하예요. OpenJDK는 8u504 이하, 11.0.32.1 이하, 17.0.21 이하, 21.0.13 이하, 25.0.5 이하, 27.0.1 이하예요. 각 범위는 해당 버전 계열 안에서 비교해야 하며, 서로 다른 제품의 기준을 섞어 적용하면 안 돼요.

지금 할 일

1. 사용 중인 프로그램과 운영 서비스가 Java SE, GraalVM for JDK, GraalVM Enterprise Edition, OpenJDK 중 어떤 실행 환경을 사용하는지 확인해요. 프로그램에 포함된 Java도 함께 확인해요.
2. 확인 대상 실행 환경에서 Java 버전을 살펴봐요. 버전 확인 명령의 결과가 실제 운영 서비스에서 사용하는 Java를 가리키는지도 확인해요.
3. 제품명과 버전 계열을 함께 놓고 영향 범위와 비교해요. 특히 Java SE의 8u511 이하와 8u511-perf 이하, OpenJDK의 8u504 이하를 같은 기준으로 취급하지 않도록 주의해요.
4. Java SE, GraalVM for JDK, GraalVM Enterprise Edition은 Oracle 보안 패치를 확인해요. OpenJDK는 사용하는 배포 벤더의 보안 업데이트를 확인해요. 해결 버전 번호를 추측해 선택하지 말고 CVE-2026-91403의 해결 여부를 기준으로 판단해요.
5. 제조사 공지의 업데이트 절차를 따라요. 프로그램에 Java가 포함돼 있다면 해당 프로그램 공급사의 업데이트 절차와 보안 패치 반영 여부를 확인해요.
6. 업데이트를 적용한 뒤 실제 프로그램과 서비스가 보안 업데이트된 실행 환경을 사용하는지 확인해요. Java 보안 통신 기능을 사용하는 연결도 정상적으로 작동하는지 점검해요.

java -version

바로 업데이트하기 어렵다면

• 제조사 공지에서 임시 조치의 적용 가능성과 주의사항을 확인한 뒤, 영향받는 Java 서비스에 접근할 수 있는 대상을 업무상 필요한 범위로 제한하는 방안을 검토해요.
• 제조사 공지 확인을 전제로, 영향받는 Java 서비스의 불필요한 외부 노출을 줄이는 방안을 검토해요. 이런 조치가 CVE-2026-91403에 대한 보안 업데이트를 대신한다고 판단하지는 말아야 해요.

업데이트 후 확인

• 업데이트 후 Java 버전을 다시 확인하고, 확인한 실행 환경이 실제 프로그램과 서비스에서 사용되는 환경인지 대조해요. 별도로 남아 있는 영향받는 실행 환경이 있는지도 확인해요.
• Oracle 또는 해당 OpenJDK 벤더의 공지에서 설치한 업데이트가 CVE-2026-91403을 해결하는지 확인해요. 설치가 끝났다는 표시만으로 해결 여부를 판단하지 말아요.
• JSSE를 사용하는 보안 통신과 관련 웹 서비스의 데이터 처리 기능이 정상적으로 동작하는지 확인해요. 연결 실패나 기능 오류가 생겼다면 업데이트 적용 상태와 함께 살펴봐요.
• 배포물에 Java를 포함하는 프로그램은 업데이트된 실행 환경이 실제 배포물에도 반영됐는지 확인해요. 개발 환경이나 관리용 Java만 바뀐 상태로 점검을 마치지 않도록 해요.

해외 동향 (NVD·CISA KEV)

CISA의 실제 악용 취약점 목록(KEV)에는 2026.10.30 확인 기준 아직 올라 있지 않아요.

제조사 공식 공지

• https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
• https://openjdk.org/groups/vulnerability/advisories/2026-10-21

자주 묻는 질문

Q. Java SE와 OpenJDK는 같은 버전 기준으로 확인하면 되나요?

제품별 기준을 구분해야 해요. Java SE의 영향 범위에는 8u511 이하와 11.0.33 이하가 포함되고, OpenJDK에는 8u504 이하와 11.0.32.1 이하가 포함돼요. 다른 버전 계열도 각 제품의 영향 범위와 대조해야 해요. 업데이트 역시 Java SE는 Oracle 보안 패치, OpenJDK는 사용하는 벤더의 보안 업데이트를 확인해요.

Q. 어느 버전으로 올리면 해결되나요?

이번 안내에는 해결 버전 번호가 명시돼 있지 않아요. 영향받는 버전보다 번호가 높다는 이유만으로 해결됐다고 판단하지 말고, Oracle 또는 해당 OpenJDK 벤더가 CVE-2026-91403 해결을 안내한 보안 업데이트를 선택해요. 적용할 때는 제조사 공지의 업데이트 절차를 따라요.

Q. CISA KEV 등재 상태와 업데이트 필요성은 어떻게 봐야 하나요?

이 취약점은 CISA KEV 에는 아직 등재되지 않았다. 업데이트 판단에는 별도로 제품과 버전의 영향 범위, CVSS 3.1 기준 9.1이라는 평가, 인증 없이 네트워크에서 공격을 시도할 수 있다는 조건을 함께 고려해요. 사용 중인 실행 환경이 영향 범위에 해당하면 해당 보안 업데이트를 적용해요.