JetBrains, 인증서 유출 대응 보안 업데이트
최근 30일 조회수 — 좋아요 —핵심 요약
JetBrains가 eMudhra 인증서 키 유출에 대응해 IDE와 Toolbox 등 제품군의 보안 업데이트를 배포했다.
JetBrains가 인증기관 eMudhra의 중간 인증서 8개에서 개인 키가 유출된 사건에 대응해 IDE, ReSharper, Toolbox App, Gateway 보안 업데이트를 10월 30일 배포했다. 네트워크 트래픽을 가로챌 수 있는 공격자는 유출된 키로 JetBrains 도구가 접속하는 웹사이트나 서비스를 사칭할 수 있다. JetBrains는 발표 시점까지 자사 사용자를 겨냥한 악용 사례는 확인하지 못했다고 밝혔다.1
이번 문제는 운영체제 업데이트만으로 막을 수 없다. JetBrains IDE와 ReSharper, Gateway, Toolbox App은 번들 런타임인 JBR(JetBrains Runtime)의 인증서 저장소를 쓰기 때문이다. IDE에 내장된 브라우저 JCEF(JetBrains Chromium Embedded Framework)도 영향을 받는다. JetBrains는 JBR에 CVE-2026-91403과 CVE-2026-114820 수정 사항을 반영해 침해된 인증서를 차단하고, emSign 계열 3개와 AAA Certificate Services 루트 인증서를 신뢰 목록에서 제외했다.1
수정판은 제품과 기존 버전 계열에 따라 다르다. 대표적으로 IntelliJ IDEA·PyCharm·PhpStorm·RubyMine·WebStorm은 2026.2.4, ReSharper와 Rider는 2026.2.4, Gateway는 2026.2.4, Toolbox App은 3.9.1과 3.8.2부터 보호된다. JetBrains는 2025.2부터 2026.3 RC까지 각 계열의 최신 버그 수정판으로 올리면 된다고 안내했다. 반면 2025.1 이하 IDE와 Toolbox App 3.7 이하는 수정판이 나오지 않아 지원되는 버전으로 업그레이드해야 한다.1
다만 2025.2 계열 IDE 업데이트는 현재 JBR만 고쳤고 JCEF 수정은 별도 핫픽스로 제공될 예정이다. 그때까지는 JCEF를 꺼야 한다. 2025.3 이상 수정판의 JCEF는 IDE 시작 뒤 구글 업데이트 서버에서 크롬 인증서 차단 목록을 받는데, 네트워크가 이 서버를 막으면 보호되지 않으므로 역시 JCEF 비활성화가 필요하다.1
또 다른 경로인 백그라운드 서비스 jetbrainsd는 자체 인증서 목록을 내장해 JBR 업데이트의 효과를 받지 않는다. JetBrains는 이를 0.9.9728에서 별도로 수정했으며 CVE-2026-118697로 추적한다. 사용자마다 하나만 실행되고 새 버전이 이전 버전을 대체하므로, 이 버전을 포함한 JetBrains 앱 하나를 업데이트하면 다른 JetBrains 앱에도 수정이 적용된다.1
Footnotes
읽기 목록은 이 브라우저에 저장됩니다.
출처
- Compromised eMudhra Certificates: Update Your JetBrains IDEs, ReSharper, .NET Tools, Toolbox App, and Gateway Now - The JetBrains Blog — JetBrains Blog
이 글은 위 출처를 근거로 자동 생성된 뒤 발행됐습니다. 원문을 함께 확인해 주세요. 교차 보도 없이 단독 출처로 작성됐습니다.