보안

Cloudflare WAF, Next.js 2026년 7월 보안 이슈 대응 룰 추가… CVE-2026-64641·CVE-2026-64642·CVE-2026-64645 포함

게재일 2026. 07. 26.· 원문 공개 2026. 07. 21.조회 0

Cloudflare WAF, Next.js, CVE-2026-64641 관련 기술 이미지 — SevenIDC 기술 요약 이미지

Cloudflare는 2026년 7월 21일자 WAF 릴리스에서 Adobe ColdFusion, Next.js, WordPress 관련 신규 탐지·차단 룰과 함께 SSRF, LFI, XSS에 대한 일반 보호 강화를 발표했다. 특히 Next.js 2026년 7월 보안 릴리스에서 공개·수정된 여러 취약점 가운데 일부는 WAF 계층만으로는 막을 수 없다고 밝혀, 운영 환경에서는 WAF 적용 여부와 별개로 프레임워크 버전 점검이 핵심 과제로 떠올랐다.

Next.js 취약점 대응, WAF 보완과 애플리케이션 업데이트를 함께 봐야 하는 이유

이번 변경에서 운영상 가장 중요한 부분은 Next.js 관련 항목이다. Cloudflare는 2026년 7월 보안 릴리스에 포함된 취약점들이 서비스 거부, 미들웨어·프록시 우회, SSRF, 정보 노출, 캐시 포이즈닝 등 여러 유형에 걸쳐 있다고 설명했다.

동시에 일부 취약점은 WAF 레이어에서 차단이 불가능하다고 명시했다. 따라서 리버스 프록시나 CDN 앞단에서 WAF를 활성화해도 애플리케이션 자체가 취약한 버전에 머물러 있으면 우회나 자원 고갈 같은 위험이 남을 수 있다.

서버호스팅, 코로케이션, 자체 운영 환경에서는 외부 방어 계층 적용 여부보다 먼저 Next.js 사용 버전과 배포 산출물의 빌드 조건을 확인할 필요가 있다. 특히 프런트엔드 플랫폼을 여러 고객 서비스에 공통 이미지로 배포하는 환경이라면 표준 이미지와 내부 패키지 미러에 취약 버전이 남아 있는지도 함께 점검하는 편이 현실적이다.

CVE-2026-64641, App Router Server Actions 환경의 CPU 고갈 위험

Cloudflare는 CVE-2026-64641에 대해 App Router와 최소 1개 이상의 Server Action을 사용하는 Next.js 애플리케이션에서 조작된 요청이 과도한 CPU 사용을 유발할 수 있다고 설명했다. 동일 프로세스 내 후속 요청 처리까지 막히는 형태여서, 단일 프로세스 의존도가 높은 서비스에서는 응답 지연이나 사실상 서비스 거부 상태로 이어질 수 있다.

이 항목에 대해서는 Cloudflare WAF 룰 'Next.js - DoS - CVE-2026-64641 (...90dcdb0a)'가 배포됐다. 다만 이는 완화 수단으로 보는 편이 적절하며, 근본 대응은 패치 버전 적용이다.

트래픽이 몰리는 웹 서비스나 다중 테넌트 호스팅 환경에서는 CPU 급증 경보, 프로세스 단위 자원 사용률, 자동 확장 전후의 응답 시간 변화를 함께 확인하면 실제 노출 여부를 더 빠르게 가늠할 수 있다.

CVE-2026-64642와 CVE-2026-64645, WAF 사각지대가 있는 우회·SSRF 이슈

CVE-2026-64642는 Turbopack으로 빌드된 App Router 애플리케이션 중 config.i18n.locales에 단일 항목만 있는 경우의 미들웨어·프록시 우회 이슈다. 인증이나 보안 검사를 미들웨어에 의존하는 배포 구조라면 우회가 곧 접근통제 실패로 이어질 수 있다.

Cloudflare는 이 취약점이 WAF 시그니처 엔진으로는 커버되지 않는다고 밝혔다. 즉 엣지 보안 장비 정책보다 애플리케이션 수정이 우선이며, 접근통제 로직을 미들웨어 단일 계층에만 의존하는지 아키텍처 점검도 필요하다.

CVE-2026-64645는 요청 제어 입력으로 외부 목적지 호스트명을 구성하는 rewrites() 또는 redirects() 규칙에서 발생하는 문제다. rewrites에서는 SSRF, redirects에서는 오픈 리다이렉트로 이어질 수 있다고 설명됐다. 내부 관리 API, 메타데이터 엔드포인트, 사설 네트워크 자산으로의 비정상 요청 가능성을 줄이려면 외부 목적지 생성 규칙을 우선 점검해야 한다.

운영 체크리스트: 영향 버전 확인부터 표준 이미지 정리까지

Cloudflare가 제시한 패치 버전은 v16.2.11(Active LTS)과 v15.5.21(Maintenance LTS)다. Next.js를 쓰는 서비스는 먼저 현재 실행 버전과 배포 파이프라인의 고정 버전을 대조해 영향 범위를 파악하는 것이 좋다.

그다음 애플리케이션과 의존성을 권고 버전으로 업데이트하고, 스테이징과 운영 환경이 동일한 런타임·빌드 옵션을 쓰는지 확인해야 한다. Turbopack 사용 여부, App Router 사용 여부, Server Actions 사용 여부, rewrites()/redirects()에서 요청 입력을 목적지 생성에 활용하는지 여부가 핵심 점검 항목이다.

여러 프로젝트에 공통 베이스 이미지를 배포하는 환경이라면 내부 컨테이너 레지스트리, VM 템플릿, CI 캐시, 패키지 미러에 취약 버전 산출물이 남아 있지 않은지까지 정리해야 재배포 시 재노출을 줄일 수 있다. WAF는 CVE-2026-64641 같은 일부 항목의 완화 수단으로 유효하지만, 이번 사례에서는 프레임워크 업데이트가 우선순위가 더 높다.

핵심 포인트

Cloudflare가 Adobe ColdFusion, Next.js, WordPress 관련 신규 WAF 룰과 SSRF·LFI·XSS 일반 보호 업데이트를 공개했다.
Next.js 2026년 7월 보안 이슈 중 일부는 WAF 계층에서 차단할 수 없어 애플리케이션과 의존성 업데이트가 필요하다.
패치 권고 버전은 v16.2.11(Active LTS)과 v15.5.21(Maintenance LTS)다.
CVE-2026-64641은 App Router와 Server Actions 사용 환경의 CPU 고갈형 DoS 이슈이며 전용 WAF 룰이 배포됐다.
CVE-2026-64642 미들웨어 우회는 WAF 시그니처 엔진으로 커버되지 않으며, CVE-2026-64645는 rewrite/redirect 구성에 따라 SSRF 또는 오픈 리다이렉트로 이어질 수 있다.

출처: Cloudflare Blog

← NEWS 목록 문의하기