Apache Tomcat 보안 패치 관련하여...(8버전 사용자들 주의)

https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&nttId=72203&menuNo=205020

보호나라(KISA)에서 위와 같은 공지가 있었습니다.

지금 저도 관리하는 서버들 대상으로 업그레이드를 준비하고 있습니다.

다수의 CVE 가 같이 공개되었는데, CVE-2026-76183 의 경우는 CVSS v3.1 기준 9.8 Critical 로 분류된 매우 위험한 문제라서, 버전 업그레이드 안했다가 문제 발생하면 서비스 운영자가 다 뒤집어 쓰게 됩니다.

그래서 일단 현재 사용중인 Tomcat 버전 확인해서 패치하시길 권합니다. 다행이 CVE-2026-76183 의 경우 web.xml 을 이용한 방식으로 보여서, Spring Boot 에서는 영향도가 매우 낮을 것 같으나, Spring Boot 에서 embedded Tomcat 을 쓰시더라도 당분간 버전을 지정해서 Tomcat 버전을 상향해서 쓰시는걸 추천합니다.

그리고 보호나라 글에도 나오지만 패치 버전은 9~11 입니다. 8.5, 8, 7 등 구 버전은 모두 EOL(End of Life, 지원 종료)이 되었기 때문에 동일 문제가 있을 것으로 보이나 패치는 제공되지 않습니다.

하…주력 서비스 중 하나가 8.5, 하나는 7 인데(8.5 적용 시 시스템 동작 불가)…이를 어쩌나…