안녕하세요. 이파피루스입니다.

2026년 10월에 공개된 Java 보안 취약점 2건과 관련하여 당사 제품별 영향 및 권고 조치 사항을 안내드립니다.
 

1. 취약점 개요

- CVE-2026-91403 (2026-10-21): 인증기관 eMudhra의 일부 중간 인증서 개인키가 침해된 문제로, Java TLS 처리 모듈(JSSE)의 인증서 검증 과정에서 위조된 인증서를 신뢰할 수 있는 취약점입니다.
- CVE-2026-114820 (2026-10-24): 동일 사안에 대한 후속 보안 조치로, Java 기본 신뢰 저장소(cacerts)에서 관련 루트 인증서를 제거하여 신뢰 관계를 차단합니다.

두 취약점 모두 Java 런타임의 인증서 신뢰 및 검증 체계와 관련된 사항으로, 사용 중인 Java 버전과 배포 환경에 따라 보안 업데이트 또는 추가 조치가 필요합니다.
 

2. 제품별 영향 및 조치 안내

2.1 제품 업그레이드가 필요한 경우 (내장 Java 사용 제품)
다음 제품은 Java 런타임이 제품에 포함되어 있어, 당사에서 제공하는 보안 조치 버전으로의 업그레이드가 필요합니다.

대상 제품 및 보안 조치 예정 버전 (2026년 10월 29일 배포 예정)
- StreamDocs 7.0 (Standalone): 7.0.2.0
- StreamDocs, StreamDocs Vu! 5.15 (Standalone): 5.15.12.0
- PDF Gateway 11: 11.1.23.7

해당 버전에는 이번 Java 보안 취약점에 대한 조치 사항이 반영될 예정입니다.
다만, 제품별 설치 환경과 기존 연계 시스템 구성에 따라 업그레이드 시 추가 확인이 필요할 수 있으므로, 제품에 포함된 Java를 임의로 교체하지 마시기 바랍니다.
업그레이드 적용 방법 및 일정에 대해서는 기존 담당 엔지니어 또는 당사 홈페이지의 문의하기 페이지(링크: https://www.epapyrus.com/kor/support/contact.php)를 통해 접수해 주시면 관련 사항을 확인하여 안내드리겠습니다.

2.2 고객사 서버의 Java를 사용하는 경우
다음 제품은 고객사 서버에 설치된 Java를 사용하므로, 제품 업그레이드와 별개로 Java 보안 업데이트가 필요합니다.
- StreamDocs 7.0, StreamDocs·StreamDocs Vu! 5.15 버전대 (Standard 설치, 고객사 WAS에 WAR 배포)
- StreamDocs·StreamDocs Vu! 5.14 버전대

해당 제품은 사용 중인 Java에 이번 취약점의 보안 조치 사항을 적용하는 방식으로 대응할 수 있으며, 별도의 제품 업그레이드는 필요하지 않습니다.
고객사에서 사용 중인 Java의 종류 및 버전을 확인한 후, Java 공급사에서 제공하는 보안 수정 버전으로 업데이트해 주시기 바랍니다.
단, 기존 제품과 WAS에서 지원하는 Java 버전 범위를 유지해야 하며, Java 배포판 및 세부 빌드에 따라 보안 조치 포함 여부가 다를 수 있으므로 사전 확인이 필요합니다.
 

3. 고객사 Java 조치 방법

본 항목은 고객사 서버의 Java를 직접 관리하는 제품을 대상으로 합니다.

3.1 실행 중인 Java 확인
제품 또는 WAS에서 실제로 사용 중인 Java의 실행 경로와 버전을 확인합니다.
- Linux: ps -ef | grep java
- Windows: 작업 관리자 > 세부 정보 > 명령줄 확인
- Java 버전 및 빌드 확인: java -version

서버에 여러 Java가 설치되어 있을 수 있으므로, 실제 제품 또는 WAS가 사용하는 Java의 경로를 기준으로 확인해 주시기 바랍니다.

3.2 Java 보안 업데이트
사용 중인 Java 공급사(Oracle JDK, OpenJDK, Azul Zulu 등)의 공식 보안 공지를 참고하여 두 취약점에 대한 수정 사항이 모두 반영된 버전으로 업데이트합니다.

- CVE-2026-91403: 취약한 중간 인증서에 대한 신뢰 차단
- CVE-2026-114820: 관련 루트 인증서 제거

일부 Java 배포판은 두 취약점의 수정 사항이 서로 다른 시점에 배포될 수 있으므로, 단순 버전 번호뿐만 아니라 실제 적용된 빌드와 보안 수정 내역을 확인해야 합니다.
OS 패키지로 설치된 OpenJDK의 경우 해당 OS 공급사에서 제공하는 보안 업데이트와 인증서 패키지 업데이트 여부를 함께 확인해 주시기 바랍니다.

3.3 루트 인증서 확인 및 조치
Java 업데이트 후 신뢰 저장소(cacerts)에 다음 루트 인증서가 남아 있는지 확인합니다.

- emsignrootcag1
- emsignrootcag2
- emsigneccrootcag3
- comodoaaaca

해당 인증서가 남아 있는 경우, Java 공급사의 공식 보안 가이드를 참고하여 제거하거나 필요한 추가 조치를 진행해 주시기 바랍니다.
인증서 제거 전에는 반드시 기존 신뢰 저장소를 백업하고, 실제 사용 중인 Java의 신뢰 저장소를 대상으로 작업해야 합니다.

상세 조치 방법은 아래 공식 안내를 참고해 주시기 바랍니다.
https://ops.java/emudhra/

3.4 환경변수 및 실행 경로 확인
Java 업데이트 후 StreamDocs가 변경된 JDK를 사용하도록 실행 환경을 확인합니다.
- StreamDocs 기동 계정의 JAVA_HOME 환경변수가 보안 패치가 적용된 JDK 경로로 설정되어 있는지 확인합니다.
- StreamDocs 기동 스크립트에는 기본적으로 JDK 경로가 명시되어 있지 않으나, 고객사 운영 환경에서 JDK 경로를 별도로 지정한 경우 변경된 JDK 경로로 수정해야 합니다.
- 고객사 WAS에 배포하여 사용하는 경우에는 WAS의 Java 실행 환경 및 설정 경로도 함께 확인해 주시기 바랍니다.

3.5 서비스 재기동 및 정상 동작 확인
Java 업데이트 및 실행 환경 설정이 완료되면 StreamDocs 또는 해당 WAS를 재기동하여 변경 사항을 적용합니다.

재기동 후 다음 사항을 확인해 주시기 바랍니다.

- 실제 실행 중인 Java가 보안 패치가 적용된 JDK인지 확인
- 문서 등록, 변환 및 열람 기능의 정상 동작 여부 확인
- 외부 연계 시스템과의 통신 및 서비스 정상 동작 여부 확인

※ 서버에 여러 Java 버전이 설치된 경우, 환경변수 변경만으로 실제 실행 Java가 변경되지 않을 수 있으므로 반드시 재기동 후 실행 경로와 버전을 확인해 주시기 바랍니다.
 

4. 업그레이드 및 조치 시 유의 사항

Java 보안 업데이트 과정에서 TLS 보안 정책 및 신뢰 인증서 구성이 변경될 수 있으며, 이에 따라 기존 연계 시스템과의 호환성에 영향을 줄 수 있습니다.

특히 다음 사항에 대한 사전 점검을 권장드립니다.

- HTTPS를 사용하는 외부 시스템 및 데이터베이스와의 연결 호환성
- 일부 구형 TLS 및 암호화 방식을 사용하는 시스템과의 통신 여부
- 기존 Java 신뢰 저장소에 별도로 등록하여 사용 중인 인증서의 유지 및 재등록 필요 여부

또한 이번 보안 조치로 일부 루트 인증서에 대한 신뢰가 제거됨에 따라, 해당 인증서에 의존하는 외부 시스템과의 연결이 제한될 수 있습니다.
운영 환경에 적용하기 전에는 기존 설정 및 인증서 백업, 연계 시스템 확인, 사전 테스트를 진행해 주시기 바랍니다.

본 안내는 해당 Java 보안 취약점 2건에 대한 조치 사항으로, 제품 및 운영 환경에서 발생할 수 있는 모든 보안 취약점의 해결을 보장하는 것은 아닙니다. 안정적인 서비스 운영을 위해 정기적인 보안 점검과 최신 보안 업데이트 적용을 권장드립니다.

PHP 및 Node.js 보안 취약점 관련 사항은 별도 공지를 참고해 주시기 바랍니다.
 

5. 문의

제품 업그레이드 및 Java 보안 조치와 관련한 추가 문의 사항은 기존 담당 엔지니어 또는 당사 홈페이지의 문의하기 페이지를 통해 접수해 주시기 바랍니다.

감사합니다.
이파피루스 드림