에스코어 인사이트
원문에 앞서 국내 개발·보안 조직이 함께 점검할 만한 사항을 간단히 정리했습니다.
•
Spring 자산 인벤토리 정합성: 직접 의존성뿐 아니라 전이 의존성까지 포함해 실제 배포 중인 Spring 관련 컴포넌트와 버전을 추적할 수 있어야 합니다.
•
취약점 우선순위 고도화: CVSS 점수만으로 일괄 대응하지 말고 실제 애플리케이션 노출, 악용 가능성, 업무 중요도를 함께 반영해 조치 순서를 정합니다.
•
대규모 공개를 전제로 한 자동 영향 분석: AI 기반 취약점 연구가 확대되는 상황을 고려해 SBOM, 저장소, 애플리케이션 정보를 연결하고 대량 권고가 발표돼도 자동으로 영향 범위를 좁힐 수 있게 합니다.
Sonatype 원문 번역
핵심 요약
•
Broadcom은 2026년 8월 20일 Spring 보안 권고를 대규모로 공개했으며, Sonatype은 Spring Framework와 관련 프로젝트 전반에서 91개의 CVE를 추적하고 있습니다.
•
글을 게시한 시점 기준으로 Sonatype Guide는 이번 보안 이벤트의 영향을 받는 소프트웨어 컴포넌트를 209,569개로 식별하고 있습니다.
•
이번 공개는 AI 지원 취약점 발견이 급격히 늘어나는 상황에서 나왔습니다. Broadcom은 2026년 3월부터 4월 사이 Spring 월간 보안 권고 수가 1,700% 이상 증가했다고 밝힌 바 있습니다.
•
AI는 취약점 발견 속도를 높이고 있지만, 조직은 여전히 취약한 컴포넌트가 어디에 배포돼 있는지 파악하고, 위험 우선순위를 정하며, 안전한 보완 경로를 찾아야 합니다.
2026년 8월 20일 Broadcom은 Spring과 관련 프로젝트에 영향을 주는 대규모 보안 권고를 공개했습니다.
취약점은 여러 Spring 프로젝트에 걸쳐 있으며 높은 심각도의 문제도 다수 포함됩니다. 안전하지 않은 역직렬화, 특정 조건에서의 신뢰할 수 없는 코드 실행, 민감 정보 노출, 서버 측 요청 위조(SSRF), 경로 순회, 서비스 거부, 부적절한 권한 부여 등 다양한 취약점 유형이 포함됩니다.
규모 자체도 눈에 띄지만, 이번 공개는 소프트웨어 보안에서 이미 진행 중인 더 큰 변화를 보여줍니다. AI가 취약점을 발견하는 속도가 많은 조직이 결과를 받아들이고 보완하는 속도보다 빠르게 증가하고 있다는 점입니다.
Sonatype 공동 창업자이자 CTO인 Brian Fox는 Spring 사례가 AI 시대의 취약점 발견과 후속 조치 간 속도 차이를 잘 보여준다고 설명합니다. Spring 팀은 발견 내용을 처리하고 수정 버전을 만들고 패치 릴리스를 공개하는, 메인테이너에게 기대하는 일을 정확히 수행했습니다. 이제 문제는 그 수정 사항이 소프트웨어 공급망 전체를 얼마나 빠르게 통과하느냐입니다.
많은 CVE는 훨씬 더 큰 보완 문제를 만든다
2026년 8월 Spring 보안 권고는 Spring Security, Spring Cloud Config, Spring AI, Spring Data REST, Spring Integration, Reactor Core, Reactor Netty, Spring AMQP, Spring Batch 등 생태계 전반의 프로젝트에 영향을 줍니다. 개별 보안 권고 중 상당수는 지원 중인 여러 버전 계열에 대해 각각 수정 버전을 제공합니다.
따라서 하위 생태계에 미치는 영향은 CVE 개수만 보고 예상하는 것보다 훨씬 큽니다. 글 게시 시점에 Sonatype Guide는 209,569개의 영향받는 컴포넌트를 식별했으며, 여기에는 취약한 Spring 코드를 내부에 포함하는 비-Spring 컴포넌트도 다수 포함됩니다.
Fox가 지적했듯 수정 버전을 공개하는 것은 보완 과정의 시작일 뿐입니다. 상위 프로젝트에 수정이 존재한다고 해서 하위 환경의 취약점이 곧바로 해결되는 것은 아닙니다. 다른 오픈소스 프로젝트가 새 버전을 받아들여야 하고, 기업은 자신이 어디에 노출돼 있는지 이해해야 하며, 최종 애플리케이션도 수정된 버전을 사용해 다시 빌드하고 배포해야 합니다.
개발팀과 보안팀 입장에서는 한 번의 취약점 공개가 훨씬 더 많은 질문으로 이어집니다.
•
어떤 애플리케이션이 영향을 받는 Spring 컴포넌트를 포함하고 있는가?
•
실제로 배포 중인 취약 버전은 무엇인가?
•
해당 의존성은 직접 의존성인가, 전이 의존성인가?
•
어떤 취약점이 가장 큰 위험을 만드는가?
•
불필요한 중단을 일으키지 않으면서 문제를 해결할 수 있는 업그레이드는 무엇인가?
취약점 공개의 규모와 빈도가 동시에 증가할수록 이런 판단은 더 어려워집니다.
Spring에서는 이미 AI 기반 취약점 발견이 급증하고 있었다
올해 Spring에서 이례적으로 큰 규모의 취약점이 공개된 것은 이번이 처음이 아닙니다.
2026년 6월 Broadcom은 Spring의 월간 보안 권고가 3월부터 4월 사이 1,700% 이상 증가했다고 밝혔습니다. 이에 따라 Spring 엔지니어링 팀은 AI 지원 보안 분석과 프런티어 모델 기반 스캐닝의 활용 범위를 확대했습니다. Broadcom은 6월의 보안 업데이트가 Spring 프로젝트 23년 역사상 가장 큰 규모였다고 설명하기도 했습니다.
과거 Spring에는 월평균 약 6.5건의 새로운 보안 보고가 들어왔습니다. 2026년 3월에는 55건으로 늘었고, 4월에는 65개 프로젝트를 대상으로 총 482건의 보안 보고가 접수됐습니다. 이 가운데 370건은 자체 스캐닝 역량이 생성했고, 나머지 112건은 커뮤니티에서 제출됐습니다.
AI 지원 취약점 발견은 이러한 변화의 중요한 요소입니다. Spring은 고급 AI 모델이 훨씬 더 큰 규모로 취약점을 찾아내는 사례로 Anthropic의 Mythos 연구를 언급한 바 있습니다. 다만 Sonatype은 Mythos가 2026년 8월 20일 보안 이벤트에 포함된 91개 CVE를 직접 발견했다고 확인한 것은 아닙니다.
CVE-2026-59285: 안전하지 않은 역직렬화가 원격 코드 실행으로 이어질 수 있다
8월 공개된 취약점 가운데 CVE-2026-59285는 심각도와 잠재적 영향 모두에서 특히 주목할 만합니다. Spring for GraphQL의 안전하지 않은 역직렬화 취약점입니다.
Sonatype Research는 영향받는 애플리케이션이 JSON 역직렬화에 Jackson 2.x를 사용하고, 페이지네이션 GraphQL 필드를 노출하며, 역직렬화 과정에서 악용할 수 있는 특정 클래스를 포함하는 경우 공격 가능성이 생길 수 있다고 분석했습니다.
Sonatype은 이 취약점을 CVSS 9.2점의 치명적(Critical) 수준으로 평가하며, 수정 버전으로 업그레이드할 것을 권고합니다. Spring GraphQL이 전이 의존성으로 들어오고 직접 업그레이드할 방법이 없다면, 상위 의존성을 업데이트하거나 해당 메인테이너에게 문의하거나 완화 통제를 적용해야 할 수 있습니다.
CVE-2026-59318: Spring AI의 도구 호출이 요청 경계를 우회할 수 있다
또 다른 주목할 문제는 Spring AI의 도구 호출 기능에 영향을 주는 CVE-2026-59318입니다.
특정 조건에서는 프롬프트 인젝션 공격으로 인해 현재 요청에 제공되지 않은 도구를 Spring AI가 호출할 수 있으며, 그 결과 권한 상승으로 이어질 가능성이 있습니다. Spring은 이 취약점을 Medium 심각도로 평가합니다.
이 문제는 Sonatype Research Labs가 Black Hat 2026 이후 강조한 더 넓은 문제와도 연결됩니다. AI 에이전트에게 무엇을 해야 하고 무엇을 하지 말아야 하는지 말로 지시하는 것과, 시스템이 실제로 허용하는 행동 범위를 강제하는 것은 같은 일이 아닙니다. 공격자가 모델을 조작할 수 있고 하위 시스템이 여전히 특정 도구나 작업에 접근할 수 있게 허용한다면 프롬프트 수준의 제한만으로는 충분하지 않을 수 있습니다.
Spring은 영향을 받는 Spring AI 버전을 수정된 릴리스로 업그레이드할 것을 권고합니다.
Spring을 사용하는 조직이 해야 할 일
Spring을 사용하는 조직은 8월 보안 권고를 검토하고, 애플리케이션과 개발 환경, 소프트웨어 저장소 전반에서 영향받는 버전이 존재하는지 확인해야 합니다.
대응 우선순위는 심각도 점수만이 아니라 실제 애플리케이션 노출과 악용 가능성을 기준으로 정하고, 영향을 받는 컴포넌트를 적절한 수정 버전으로 이동해야 합니다. 더 넓게 보면 AI 지원 보안 연구가 확대될수록 대규모 취약점 공개는 더 흔해질 수 있다는 전제를 갖고 준비해야 합니다.
취약점 발견 속도가 기계의 속도에 가까워질수록 취약점 인텔리전스와 보완 작업도 그에 맞는 속도로 움직여야 합니다.
Sonatype Guide의 Spring August 2026 security event에서 최신 영향 컴포넌트, CVE 및 관련 취약점 유형을 확인할 수 있습니다.
에스코어는 Sonatype 공식 파트너로서 소프트웨어 공급망 보안 및 오픈소스 거버넌스 구축을 지원합니다.
도입이나 구축이 필요하시면 언제든 문의해 주세요.
지원 솔루션: Nexus Repository · Repository Firewall · Lifecycle · Sonatype Guide