무슨 일이 있었나요
Apache Tomcat: 톰캣 11(11.0.27)은 문제 7개를 고쳤고 그중 3개가 ‘중요’입니다. AJP 응답이 뒤섞이는 문제, HTTP/2 응답이 뒤섞이는 문제, 거절해야 할 로그인을 통과시킬 수 있던 디렉터리 로그인 확인(JNDIRealm)입니다. AJP 문제는 톰캣 11에만 해당합니다. 10.1(10.1.61)은 ‘중요’ 2건과 ‘낮음’ 4건, 9.0(9.0.123)은 ‘중요’ 2건과 ‘낮음’ 5건으로, ‘중요’ 2건은 HTTP/2와 JNDIRealm 문제입니다. tomcat.apache.org
Oracle Java SE: 오라클의 분기별 자바 업데이트입니다. 다른 업체의 OpenJDK 빌드는 각자의 릴리스 노트를 따릅니다. docs.oracle.com
Spring Framework: 함수형 MVC의 서버 전송 이벤트(SSE) 스트림이 좁은 조건에서 깨질 수 있는 낮은 등급의 문제입니다. spring.io
최근 보안 공지
내 버전이 왼쪽 번호로 시작하면, 오른쪽 버전 이상이어야 합니다.
| 공지 | 등급 (제조사) | 수정된 버전 |
|---|---|---|
| Apache Tomcat아파치 톰캣 11.0.27, 10.1.61, 9.0.123CVE-2026-103119, CVE-2026-101356, CVE-2026-101296제조사 공지tomcat.apache.org함께 보기: 아파치 톰캣 10 보안 공지, 아파치 톰캣 9 보안 공지공지일2026-10-20마지막 확인2026-10-22 (KST) | 등급 (제조사) 중요 (Important) 11.0: 중요 3, 낮음 4 · 10.1: 중요 2, 낮음 4 · 9.0: 중요 2, 낮음 5 | 수정된 버전
2026-10-12 릴리스, 2026-10-20 공개. AJP 문제(CVE-2026-103119)는 톰캣 11에만 해당합니다. |
| Oracle Java SE오라클 Java SE 2026년 10월 중요 패치 업데이트제조사 공지docs.oracle.com함께 보기: 오라클 2026년 10월 중요 패치 업데이트공지일2026-10-20마지막 확인2026-10-22 (KST) | 등급 (제조사) 제조사 페이지 참고 오라클 위험 매트릭스에 등급 표시 | 수정된 버전
|
| Apache Tomcat아파치 톰캣 11.0.26, 10.1.60, 9.0.122CVE-2026-76183웹소켓 보안 제약 우회를 포함한 수정입니다. 10월 릴리스에도 들어 있습니다.제조사 공지tomcat.apache.org공지일2026-09-23마지막 확인2026-10-22 (KST) | 등급 (제조사) 중요 (Important) | 수정된 버전
2026-09-15 릴리스, 2026-09-23 공개. |
| Spring Framework스프링 프레임워크 CVE-2026-59313CVE-2026-59313제조사 공지spring.io공지일2026-08-20마지막 확인2026-10-22 (KST) | 등급 (제조사) 낮음 (Low) | 수정된 버전
7.0.8.1, 6.2.20, 6.1.29, 6.0.31, 5.3.50은 Enterprise Support로만 제공됩니다. |
| Apache Tomcat아파치 톰캣 CVE-2025-24813CVE-2025-24813기본 서블릿의 쓰기 기능이 켜져 있을 때만 해당합니다. 이 기능은 기본적으로 꺼져 있습니다.제조사 공지tomcat.apache.org공지일2025-03-10마지막 확인2026-10-22 (KST) | 등급 (제조사) 중요 (Important) | 수정된 버전
|
내 버전 확인하는 방법
호스팅 관리 화면
호스팅 플랫폼: 자바 또는 런타임 설정에 JDK 버전이, 때로는 톰캣 버전도 나옵니다.
관리자 화면이나 프로젝트 파일
스프링 부트 앱: pom.xml이나 build.gradle의 spring-boot-starter-parent 또는 BOM 버전을 봅니다. 내장 톰캣 버전은 의존성 트리에 나옵니다(Gradle은 gradle dependencies).
mvn dependency:tree
명령줄
JDK 버전은 서버에서 다음 명령으로 확인합니다.
java -version단독 톰캣이라면 톰캣 bin 폴더의 버전 스크립트를 실행합니다(윈도우는 version.bat). github.com
$CATALINA_HOME/bin/version.sh
업데이트하는 방법
호스팅 업체나 플랫폼이 관리하는 경우
호스팅 플랫폼이라면 런타임 설정에서 수정된 JDK나 톰캣 버전을 고르고 다시 배포합니다.
직접 서버를 운영하는 경우
톰캣: 수정된 릴리스를 내려받아 설치합니다. 톰캣은 바이너리 패치를 내지 않고, 문제가 고쳐진 버전으로 올리라고 안내합니다. tomcat.apache.org
스프링 부트: 더 새로운 스프링 부트 버전으로 올리거나, tomcat.version 속성을 수정된 톰캣 릴리스로 지정합니다.
JDK: 쓰는 JDK 제공 업체의 업데이트 경로로 올립니다. 다른 업체의 OpenJDK 빌드(Temurin, Corretto 등)는 각자의 릴리스 노트를 따르니, 번호를 짐작하지 말고 제공 업체를 확인하세요.
톰캣 8.5와 10.0은 지원이 끝나 수정이 나오지 않습니다. 9.0, 10.1, 11.0으로 옮길 계획을 세우세요.
아직 업데이트할 수 없다면
Apache Tomcat: 아파치 톰캣 11.0.27, 10.1.61, 9.0.123
톰캣은 항목마다 해당 조건을 제조사 페이지에 적어 둡니다. 이번 항목들에 대한 톰캣의 안내는 업그레이드입니다. tomcat.apache.org
Spring Framework: 스프링 프레임워크 CVE-2026-59313
스프링의 안내는 수정된 버전으로 올리라는 것이며, “추가 완화 조치는 필요하지 않다”고 밝힙니다. spring.io
Apache Tomcat: 아파치 톰캣 CVE-2025-24813
톰캣이 적은 조건: 기본 서블릿의 쓰기 기능이 켜져 있을 때만 해당합니다(기본값은 꺼짐). 직접 켠 적이 없다면 이 항목은 해당하지 않고, 업데이트하면 함께 해결됩니다. tomcat.apache.org
호스팅 업체에 물어볼 말
아래 글을 복사해 [ ] 부분을 채운 뒤, 호스팅 업체의 고객 지원 창구로 보내세요.
안녕하세요. 제 자바 앱 [앱 이름]이 귀사 플랫폼에서 돌아가고 있습니다. 이 앱이 쓰는 JDK 버전과 아파치 톰캣 버전을 알려 주실 수 있을까요? 톰캣은 11.0.27, 10.1.61, 9.0.123에서 문제를 고쳤고(2026년 10월 20일 공개), 오라클의 2026년 10월 업데이트에는 21.0.13, 17.0.21 등이 포함됩니다. 제 런타임이 수정된 버전인지, 어떻게 업데이트하는지 궁금합니다. 감사합니다.
제조사 출처
- 아파치 톰캣 11 보안 공지tomcat.apache.org
- 아파치 톰캣 10 보안 공지tomcat.apache.org
- 아파치 톰캣 9 보안 공지tomcat.apache.org
- 스프링 CVE-2026-59313spring.io
- 오라클 JDK 2026년 10월 CPU 릴리스 노트docs.oracle.com
- 오라클 2026년 10월 중요 패치 업데이트www.oracle.com
마지막 확인 (KST)