Ubuntu가 보안 공지 USN-8927-2를 통해 Ubuntu 26.10용 curl 수정 패키지를 안내했습니다. WebSocket 처리, 연결 재사용과 인증 상태 등 여러 문제를 다루며, 앞서 공개된 수정 사항을 26.10에 제공하는 후속 공지입니다. Ubuntu 공식 발표
curl 명령을 업데이트했다고 모든 libcurl 사용 프로그램이 바뀌는 것은 아닙니다. 자체 라이브러리를 포함한 프로그램과 컨테이너 이미지가 있으면 별도 배포 경로가 있을 수 있어요. 시스템 패키지와 함께 배포한 구성 요소를 구분합니다.
이 글의 목차
curl 명령과 libcurl 라이브러리는 쓰는 주체가 다릅니다
터미널에서 실행하는 curl은 명령행 프로그램입니다. libcurl은 다른 애플리케이션이 통신 기능을 호출할 때 사용하는 라이브러리예요. 운영자가 curl 명령을 거의 쓰지 않아도 앱이 libcurl을 사용한다면 점검 대상이 될 수 있습니다. 반대로 모든 프로그램이 시스템 libcurl을 쓰는 것도 아니므로, 설치된 패키지 목록과 실제 앱 의존성을 연결해야 합니다.
동적 라이브러리를 사용하는 프로세스와 라이브러리를 자체 포함한 프로그램도 나눕니다. 시스템 패키지 교체가 전자에 영향을 줄 수 있어도 후자는 새 앱 빌드나 이미지 배포가 필요할 수 있습니다. 또한 장기간 실행하는 프로세스는 기존 라이브러리를 계속 사용할 수 있으므로 패키지 변경 뒤 어떤 서비스를 다시 시작해야 하는지 확인합니다.
어떤 프로토콜과 인증 기능을 쓰는지 확인합니다
이번 공지는 여러 기능의 문제를 한 번에 다룹니다. 따라서 HTTPS로 단순 파일만 받는 작업과 프록시 인증이나 WebSocket을 사용하는 작업은 노출 조건이 다를 수 있습니다. 공지에 적힌 조건과 자신의 호출 옵션을 대조해야 우선순위를 정할 수 있어요. 특정 옵션을 쓰지 않는다는 확인은 해당 조건의 검토 결과이지 전체 패치가 불필요하다는 결론은 아닙니다.
업데이트 뒤에는 기존 인증 흐름과 연결 재사용을 포함한 대표 요청을 시험합니다. 한 번의 공개 사이트 접속이 성공해도 사내 프록시나 인증서, 업로드 경로는 다른 문제가 있을 수 있습니다. 회귀 시험에 쓰는 자격 증명은 최소 권한의 시험용으로 준비하고 상세 통신 로그에 비밀 값이 남지 않도록 출력 범위를 제한합니다.
배포판 패키지 빌드를 기준으로 판단합니다
배포판은 상위 프로젝트의 모든 새 기능을 가져오지 않고 보안 수정만 기존 패키지에 반영할 수 있습니다. 그래서 curl이 출력하는 기본 버전 번호만 인터넷의 최신 버전과 비교하면 판단을 잘못할 수 있어요. USN-8927-2가 안내하는 Ubuntu 26.10의 수정 빌드는 curl, libcurl4t64, libcurl3t64-gnutls에 대해 8.20.0-2ubuntu11.1입니다. 더 새로운 배포판 보안 빌드가 있는지도 함께 확인합니다.
점검 기록에는 운영체제 릴리스, 설치된 패키지 버전, 저장소가 제공하는 후보 버전, 해당 앱이나 이미지의 배포 상태를 나눠 남깁니다. 컨테이너의 운영체제는 호스트와 다를 수 있으므로 컨테이너 안의 패키지도 따로 확인합니다. 아래 명령은 상태를 읽는 예시이며 업데이트를 설치하거나 서비스 설정을 바꾸지는 않습니다.
cat /etc/os-release
dpkg-query -W curl libcurl4t64 libcurl3t64-gnutls
apt-cache policy curl libcurl4t64 libcurl3t64-gnutls설치하지 않은 패키지는 dpkg-query에서 찾을 수 없다는 메시지가 나올 수 있습니다. apt-cache의 후보 버전은 현재 로컬 패키지 목록 기준입니다. 실제 설치 전에는 조직의 정상 업데이트 절차로 목록을 갱신하고 해당 릴리스의 보안 공지와 비교합니다. 이 예시는 특정 서버에서 실행한 결과를 제시하는 것은 아닙니다.
업데이트 범위를 정하는 순서
- 현재 Ubuntu 릴리스와 설치된 패키지 빌드를 확인합니다.
- curl 명령·libcurl 의존 앱·컨테이너 이미지를 구분합니다.
- 공식 수정 적용 후 기존 HTTPS·프록시·인증 흐름을 시험합니다.
USN-8927-2의 대상은 Ubuntu 26.10입니다. 다른 릴리스에는 해당 릴리스용 공지를 적용하고 동일한 패키지 문자열을 억지로 맞추지 않습니다.
발표문 기준일: 2026-10-19 · 확인일: 2026-10-24
.jpg){kind=link}