본문으로 건너뛰기

[보안 공지] 웹호스팅 Tomcat(JSP) 서비스 Java 인증서 보안 취약점 조치 및 Tomcat 재시작 안내

안녕하세요. 카페24 호스팅센터입니다.

Oracle Java에서 발표한 인증서 신뢰 관련 보안 취약점(CVE-2026-91403)에 대응하기 위해, 웹호스팅 Tomcat(JSP) 서비스 서버를 대상으로 보안 조치를 진행하였습니다. 아래 내용을 확인하시어 서비스 이용에 참고 부탁드립니다.

※ 대상 고객님께는 별도 메일이 발송되었습니다. 메일을 확인해 주시기 바랍니다.

■ 취약점 내용

  • 인도 인증기관 eMudhra의 일부 중간 인증서 보안키가 외부에 노출되는 사고가 발생했습니다.
  • 이 인증서는 Java에 기본 등록된 루트 인증서(AAA Certificate Services)를 통해서도 신뢰되도록 연결되어 있습니다.
  • 이로 인해 Java 프로그램이 외부 HTTPS 서버에 접속할 때, 위조된 인증서를 정상 인증서로 신뢰할 수 있는 위험이 있습니다. (예: 결제 연동, 외부 API 호출 등 Java 프로그램에서 외부로 접속하는 통신)
  • 방문자가 홈페이지에 접속하는 과정이나, 고객님 도메인의 SSL 인증서에는 영향이 없습니다.

■ 조치 내용

  • 조치 대상: 웹호스팅 Tomcat(JSP) 서비스 서버의 Java 환경 (전체 버전)
  • 조치 일시: 2026-11-05 18:00 ~ 19:00
  • 조치 방법: Oracle/OpenJDK 공식 권고에 따라, Java 인증서 저장소에서 취약점의 원인이 되는 루트 인증서를 신뢰 해제(제거)
    • 제거 인증서: AAA Certificate Services (Comodo CA Limited)
  • 서버 작업 중 서비스 중단은 없습니다.
  • 그 외 정상 인증서는 그대로 유지되어, 일반적인 HTTPS 통신에는 영향이 없습니다.

■ 고객님께 요청드리는 사항: Tomcat 재시작 (2026년 11월 13일(금)까지)

인증서 조치는 Tomcat이 재시작되어야 반영됩니다. 서버 작업 이후 재시작하지 않은 Tomcat은 계속 취약한 상태로 남게 됩니다.

  • 기간: 2026년 11월 13일(금)까지
  • 방법: [나의서비스관리] > 톰캣 재시작 메뉴
  • 재시작하는 동안(수 초~수 분) 홈페이지 접속이 일시적으로 원활하지 않을 수 있습니다. 방문자가 적은 시간대에 진행하시는 것을 권장드립니다.
  • 재시작 후 홈페이지와 외부 연동 기능(결제, 외부 API, 로그인 연동 등)이 정상 동작하는지 확인 부탁드립니다.

■ 미재시작 서비스 일괄 재시작 안내

  • 2026년 11월 13일(금)까지 Tomcat이 재시작되지 않은 서비스는, 보안 조치 반영을 위해 2026년 11월 16일(월)부터 평일 업무시간(10:00 ~ 18:00) 중 당사에서 Tomcat을 일괄 재시작할 예정입니다.
  • 재시작 시점에 홈페이지 접속이 일시적으로 원활하지 않을 수 있습니다.
  • 원하시는 시간에 재시작하시려면 기간 내 직접 재시작을 진행해 주시기 바랍니다.

■ 참고 사항

  • 오래된 인증서를 사용하는 외부 서버와 연동하는 경우, 드물게 해당 연동에서 인증서 오류가 발생할 수 있습니다. 재시작 후 연동 오류가 발생하면 오류 내용과 함께 1:1 문의로 접수 부탁드립니다.
  • 이번 조치는 서버에서 제공하는 공용 Java 환경에 적용됩니다.

보다 안전한 서비스 제공을 위한 조치이니 양해 부탁드립니다.

감사합니다.