Apache Fineract SQL 삽입 취약점과 업데이트 안내

무슨 일이 생겼나요

KISA 보호나라는 2026-11-03 Apache Fineract의 SQL 삽입 취약점에 대응하기 위한 업데이트를 권고했어요. SQL 삽입은 신청서에 적은 내용이 단순한 답변으로 처리되지 않고, 서류 보관함을 다루는 지시처럼 받아들여지는 상황에 비유할 수 있어요. 데이터베이스에 전달되는 요청에 의도하지 않은 명령이 섞일 수 있다는 뜻이에요.

이번 권고에 포함된 취약점은 CVE-2026-64618과 CVE-2026-65874예요. CVE는 공개된 취약점을 구별하는 식별자예요. 서로 다른 식별자가 붙어 있지만, 모두 Apache Fineract의 SQL 삽입 문제이며 영향받는 버전과 해결 버전도 같아요. Apache Fineract 1.15.0 이하가 대상이고, 해결 버전은 1.16.1 이상이에요.

대응 버전이 같다고 공격 조건까지 같은 것은 아니에요. CVE-2026-65874는 로그인과 필요한 권한이 있어야 하는 취약점이에요. CVE-2026-64618의 로그인 필요 여부는 확인되지 않았으므로, 로그인 없이 공격할 수 있다고 단정하면 안 돼요. CISA KEV 에는 아직 등재되지 않았다.

기술적으로는 (초급 개발자용)

SQL은 데이터베이스에 자료를 조회하거나 처리하도록 요청하는 언어예요. SQL 삽입은 입력값이 데이터로만 다뤄지지 않고 SQL 명령의 일부로 해석될 수 있는 취약점이에요. CVE-2026-64618과 CVE-2026-65874에는 모두 CWE-89가 지정돼 있어요. CWE는 소프트웨어 약점의 종류를 구분하는 체계이고, CWE-89는 SQL 명령에 쓰이는 요소를 적절히 처리하지 못하는 SQL 삽입 유형을 뜻해요.

다만 약점의 분류와 실제 코드의 발생 원인은 구분해야 해요. 이번 취약점이 어떤 입력 항목이나 SQL 작성 코드에서 발생하는지, 어떤 요청으로 도달하는지는 확인되지 않았어요. 특정 화면, 요청 주소, 데이터베이스 처리 방식이 원인이라고 설명할 근거는 없어요. 개발자는 SQL 삽입이라는 분류를 이해하되, 실제 수정 지점과 변경 내용은 제조사 공지에서 확인해야 해요.

CVE-2026-65874에는 로그인과 필요한 권한이라는 공격 조건이 있어요. 이는 인증과 권한이 취약점 검토에 중요한 조건이라는 뜻이지, 로그인 기능만 있으면 대응이 끝난다는 뜻은 아니에요. CVE-2026-64618은 공격에 필요한 인증이나 권한 조건이 확인되지 않았어요. 두 취약점의 조건을 서로 바꿔 적용하거나, 같은 조건이라고 가정하지 않아야 해요.

CVSS는 취약점의 기술적 심각도를 점수로 표현하는 평가 체계예요. NVD의 CVSS 3.1 평가에서 CVE-2026-64618은 9.8, CRITICAL이고 CVE-2026-65874는 8.8, HIGH예요. 점수와 등급은 대응 우선순위를 판단하는 근거가 되지만, 실제 공격 발생이나 개별 서버의 피해를 증명하지는 않아요. NVD 게시일은 모두 2026-10-30이에요.

누가 영향을 받나요

일반 사용자

일반 이용자에게 중요한 것은 자신이 이용하는 서비스에서 Apache Fineract를 사용하는지, 운영자가 업데이트를 진행했는지예요. SQL 삽입은 데이터베이스에 전달되는 명령의 해석과 관련된 문제라서 서비스의 데이터 처리 안전성과 연결돼요. 다만 이번 취약점으로 어떤 정보가 노출되거나 변경됐다고 단정할 근거는 없어요.

서비스 이용만으로 Apache Fineract의 설치 버전이나 업데이트 상태를 알기는 어려워요. 해당 제품을 사용하는 서비스라면 운영자의 안내를 확인하면 돼요. 서버 제품의 업데이트는 운영 담당자가 수행해야 하며, 이용자의 로그인 여부만으로 서비스가 안전한 상태인지 판단할 수는 없어요.

개발자

Apache Fineract를 개발하거나 서비스에 통합하는 개발자는 개발 환경과 실제 서비스가 사용하는 버전을 확인해야 해요. Apache Fineract 1.15.0 이하를 기준으로 개발하거나 배포하고 있다면 1.16.1 이상으로 옮기는 작업을 검토해야 해요. 별도의 기능 수정이 적용된 환경에서는 제조사의 업데이트 내용과 자체 변경 사항이 함께 동작하는지도 확인해야 해요.

CVE-2026-65874는 로그인과 필요한 권한이 있는 사용자의 동작도 점검 범위에 포함해야 한다는 점이 중요해요. 로그인 전 화면만 확인해서는 이 취약점의 조건을 충분히 살피기 어려워요. 다만 정확한 영향 기능과 재현 요청은 확인되지 않았으므로 임의로 공격 입력을 만들기보다 제조사 공지의 수정 내용과 검증 안내를 따라야 해요.

서버·장비 담당자

서버 담당자는 실제 실행 중인 Apache Fineract의 버전을 기준으로 대응 대상을 판단해야 해요. 설치용 파일이나 배포 예정 버전만 확인하면 현재 서비스 상태와 판단이 어긋날 수 있어요. Apache Fineract 1.15.0 이하가 운영 중이라면 이번 권고의 업데이트 대상이에요.

이번 권고에 포함된 취약점은 모두 해결 버전이 1.16.1 이상이에요. 업데이트 계획에서는 CVE-2026-64618과 CVE-2026-65874를 함께 관리하고, 적용 후에도 실제 서비스가 해결 버전으로 실행되는지 확인해야 해요. 환경별 설치 방식이나 설정 위치는 추정하지 말고 제조사 공지의 업데이트 절차를 따라야 해요.

지금 할 일

1. 운영하는 서비스에서 Apache Fineract를 사용하는지 확인해요. 사용 중이라면 실제 실행 버전을 확인하고, Apache Fineract 1.15.0 이하인지 대조해요.
2. 대응 항목에 CVE-2026-64618과 CVE-2026-65874를 함께 기록해요. 해결 버전은 같지만, CVE-2026-65874에는 로그인과 필요한 권한이라는 조건이 있다는 점을 구분해 둬요.
3. 제조사 공지에서 1.16.1 이상으로 업데이트하는 절차와 적용 시 확인할 사항을 확인해요. 구체적인 메뉴나 설정 위치를 추정해서 변경하지 말고 제조사 공지의 업데이트 절차를 따라요.
4. 업데이트 전에는 현재 서비스에 적용된 자체 변경 사항과 복구에 필요한 준비 상태를 확인해요. 별도 검증 환경이 있다면 업데이트한 Apache Fineract에서 서비스의 주요 기능이 동작하는지 먼저 점검해요.
5. Apache Fineract를 1.16.1 이상으로 업데이트해요. 적용이 끝나면 실제 실행 버전과 주요 기능의 동작을 확인하고, 취약점 대응 기록에 결과를 남겨요.

업데이트 후 확인

• 업데이트 후 실제 실행 중인 Apache Fineract가 1.16.1 이상인지 확인해요. 업데이트 파일을 준비했거나 배포 작업을 완료했다는 사실과 실제 실행 버전 확인을 구분해요.
• 제조사 공지의 수정 내용과 적용 결과를 대조해 CVE-2026-64618과 CVE-2026-65874가 함께 대응됐는지 확인해요. 화면이 정상적으로 열린다는 이유만으로 취약점 해결 여부를 판단하지 않아요.
• 업데이트 후 주요 기능과 로그인 및 권한에 따른 동작을 확인해요. 이 점검은 서비스가 정상적으로 작동하는지 살피는 과정이며, 취약점 수정 여부는 해결 버전 적용과 제조사 안내를 기준으로 확인해요.

해외 동향 (NVD·CISA KEV)

CISA의 실제 악용 취약점 목록(KEV)에는 2026.11.03 확인 기준 아직 올라 있지 않아요.

제조사 공식 공지

• https://lists.apache.org/thread/s8orckszcd9x4d1qsloc046ppf5q9oc7
• https://lists.apache.org/thread/c4q539mkm5blnp5vdb72tzq6r9qg7bdh

자주 묻는 질문

Q. 로그인이 필요한 취약점이면 업데이트를 미뤄도 되나요?

CVE-2026-65874에 로그인과 필요한 권한이 필요하다는 조건은 있지만, 그것이 업데이트를 생략할 근거는 아니에요. 또한 CVE-2026-64618의 로그인 필요 여부는 확인되지 않았어요. Apache Fineract 1.15.0 이하를 사용한다면 이번 권고의 해결 버전인 1.16.1 이상으로 업데이트해야 해요.

Q. CVSS 점수가 높으면 이미 피해가 발생했다는 뜻인가요?

CVSS 점수는 기술적 심각도를 평가한 값이에요. CVE-2026-64618의 9.8과 CVE-2026-65874의 8.8은 대응 우선순위를 판단하는 데 참고할 수 있지만, 실제 피해 여부를 나타내지는 않아요. CISA KEV 에는 아직 등재되지 않았다.

Q. Apache Fineract를 어느 버전으로 업데이트해야 하나요?

이번 권고에서 영향받는 버전은 Apache Fineract 1.15.0 이하이고, 해결 버전은 1.16.1 이상이에요. CVE-2026-64618과 CVE-2026-65874 모두 같은 기준이 적용돼요. 제조사 공지의 업데이트 절차를 따르고, 완료 후 실제 실행 버전까지 확인해야 해요.