2026년 10월 eMudhra 소속 8개 중간 인증 기관(Intermediate CA)의 암호화 키 약화와 관련된 보안 취약점이 발견됨에 따라, JetBrains는 개발 및 운영 환경의 안전을 보장하기 위해 TeamCity 사용자들에게 긴급 기술 지침을 발행했습니다.
무슨 일이 일어났는가?
eMudhra의 8개 인증 기관에 대한 개인키가 취약하며 공개 데이터로부터 복구될 수 있다는 사실이 확인되었습니다. eMudhra는 공개 전 이 취약점이 악용되었다는 증거가 없다고 확인했으나, Java 런타임 환경과 같이 신뢰 저장소(Trust Stores)에 의존하는 소프트웨어 구성 요소가 이러한 손상된 기관에서 발행한 켄증서를 계속 신뢰할 수 있다는 점에 위험이 있습니다.
사용자에게 실제로 무엇이 바뀌는가?
JetBrains는 이 취약점이 TeamCity 플랫폼 자체에 있는 것이 아니라, 플랫폼이 의존하는 인프라에 영향을 미친다고 강조합니다. 따라서 DevOps 팀은 다음 단계를 수행해야 합니다:
- Java 런타임 환경(JRE) 업데이트: TeamCity 서버 및 빌드 에이전트(Build Agents)에 사용되는 Java 환경을 CVE-2026-91403 및 CVE-2026-114820 취약점을 해결하는 버전으로 업데이트해야 합니다.
- TeamCity 업데이트: 시스템 내 영향받는 인증서를 자동으로 감지하는 상태 보고서(Health Reports)가 포함된 2026.2.2 또는 2026.1.6 버전으로 업그레이드하는 것이 좋습니다.
- 업로드된 인증서 검토: Java 업데이트는 사용자가 TeamCity에 수동으로 업로드한 인증서를 제거하지 않습니다. 따라서 루트 프로젝트(Root Project)의 인증서 관리 인터페이스를 통해 영향을 받는 인증서를 검사하고 제거해야 합니다.
- CLI 도구 업데이트: TeamCity CLI를 필요한 보안 수정 사항이 포함된 Go 버전으로 재구축된 1.6.1 이상 버전으로 업데이트해야 합니다.
이 뉴스가 중요한 이유는 무엇인가?
이번 사건은 CI/CD 환경에서 신뢰 체인(Trust Chains) 관리의 중요성을 상기시켜 줍니다. TeamCity는 개발 운영의 중심 역할을 하므로 신뢰할 수 있는 인증서의 취약점은 신원 위조 또는 데이터 가로채기 공격의 문을 열 수 있습니다. JetBrains가 제공하는 업데이트는 단순한 소프트웨어 개선이 아니라 생산 환경에서 취약한 인증서가 악용되는 것을 방지하기 위한 필수 예방 조치입니다.
시스템 관리자는 또한 운영 체제, Git 및 Python 같은 빌드 도구, 컨테이너(Docker)를 포함한 지원 인프라를 검토하여 손상된 인증서가 포함된 신뢰 저장소에 의존하지 않도록 해야 합니다.