클라우드플레어, eMudhra 인증서 키 침해 발표…고객 검증 경로 점검 권고

국내에서 클라우드플레어 터널이나 접속 클라이언트를 운영한다면 프로그램 버전과 인증서 신뢰 설정을 함께 살펴볼 필요가 있다. 클라우드플레어는 10월 20일 발표에서 eMudhra 중간 인증서 8개와 관련된 개인키 침해를 알리고, 서비스별로 고객이 수행할 조치를 제시했다. 서버 측 대응과 고객이 관리하는 환경의 점검 범위가 나뉜다는 점이 운영상 핵심이다.

회사는 10월 19일 오후 5시께 협정세계시 기준으로 문제를 인지했으며, 약한 키 때문에 임의 도메인의 위조 인증서를 만들 수 있다고 설명했다. 자사 서비스 보안 검토에서는 실제 악용을 확인하지 못했다고 밝혔다. 다만 제공 자료에는 사건의 별도 독립 검증 결과가 없으며, 이 발표만으로 다른 서비스에서도 악용이나 피해가 없었다고 판단할 수는 없다.

터널 운영자에게 안내된 cloudflared 업데이트 버전은 2026.10.2다. 컨테이너 배포 환경은 수정된 이미지로 갱신한 뒤 다시 배포하도록 권고했다. 데스크톱 접속 클라이언트와 WARP에는 2026.8.2115.0이 제시됐다. 모바일용 안내 버전은 One Client의 안드로이드 2.5.6·iOS 1.12.16, 1.1.1.1 앱의 안드로이드 6.38.10·iOS 6.31.7이다. 다만 일정표에는 iOS One Agent의 앱 심사 대기 기록도 있어, 제공 본문만으로 최종 배포 완료 시각을 확정하기는 어렵다.

고객이 직접 관리하는 인증서 설정도 점검 대상이다. 회사는 상호 TLS 인증에 쓰는 신뢰 저장소와 업로드한 인증기관 인증서, 엄격 검증 모드의 원본 서버 인증서와 설정, 컨테이너 이미지 및 애플리케이션 의존성을 확인하도록 안내했다. 개발자에게는 개발 도구 묶음을 갱신해도 실제 인증서 검증 정책이 바뀌지 않을 수 있다고 설명했다. 운영체제·실행 환경·HTTP 라이브러리·별도 신뢰 설정 가운데 어떤 경로가 쓰이는지 확인하고, 오류를 피하려고 검증을 끄지 말라는 권고다.

클라우드플레어는 10월 20일 오후 7시 20분 협정세계시 기준으로 CDN과 서버 측 제로 트러스트의 완화 조치 배포를 마쳤다고 밝혔다. 동시에 발표 본문에는 추가 복구 작업이 진행 중이라는 설명도 담겼다. 따라서 이 배포 완료 시각을 고객 프로그램과 자체 신뢰 설정까지 모두 조치됐다는 의미로 읽어서는 안 된다.

보호 범위의 차이는 별도 배경 사건에서도 드러난다. 구글은 10월 6일 .gh·.sl·.as 도메인 영역 탈취와 무단 HTTPS 인증서 발급을 보고하고 크롬의 인증서 차단 조치를 설명했다. 구글은 모든 영향 도메인의 식별을 보장할 수 없으며 다른 클라이언트까지 일관되게 보호하지는 않는다고 밝혔다. 이는 eMudhra 사건을 교차 확인한 자료가 아니라, 브라우저의 대응 범위를 보여주는 별개 발표다.