Cloudflare의 Containers와 이를 기반으로 하는 Sandboxes에서 다른 고객의 데이터 일부가 노출될 수 있는 취약점이 발견됐다. Cloudflare는 2026년 9월 4일 연구자로부터 제보를 받았고, 9월 24일 공개 글에서 취약점을 완전히 수정했다고 밝혔다. 출처

이 서비스를 이용하는 고객이 알아야 할 핵심은 간단하다. Cloudflare의 안내에 따르면 고객이 별도로 설정을 바꾸거나 추가 조치를 할 필요는 없다. 수정 작업은 새 디스크에 같은 문제가 생기지 않도록 하는 데서 끝나지 않고, 이전에 만들어진 디스크와 이미지 스냅샷 캐시를 정리하는 데까지 이어졌다. 출처

내 서비스와 어떤 관련이 있나

문제가 발견된 곳은 Cloudflare Containers와 이를 기반으로 하는 Sandboxes다. 쟁점은 여러 고객이 사용하는 공유 스토리지 풀에서 컨테이너 디스크의 물리적 저장 공간을 재사용하는 방식이었다. 따라서 이 서비스를 쓰지 않는 사람까지 자신의 데이터가 노출됐다고 받아들일 사안은 아니다. 출처

영향 가능성을 이해할 때는 ‘다른 고객의 현재 작업을 들여다볼 수 있었다’와 ‘이전에 쓰인 저장 공간에 남은 내용이 보일 수 있었다’를 구분해야 한다. 연구자가 검증한 방식으로는 특정 피해자나 작업, 호스트를 골라 접근할 수 없었고, 사용 중인 디스크에 접근할 수도 없었다. 잔여 데이터가 언제나 발견되는 것도 아니었다. 출처

왜 이전 데이터가 보일 수 있었나

새 컨테이너에 디스크 공간을 내줄 때는 이전에 쓰인 물리 블록이 재사용될 수 있다. 이번에는 skip_block_zeroing 설정 때문에 새로 할당된 블록을 초기화하지 않았다. 그 상태에서 블록의 일부에만 새 내용을 쓰고 나머지를 읽으면, 이전 컨테이너가 남긴 데이터가 드러날 수 있었다. 출처

잠재적으로 노출될 수 있었던 것은 단순한 빈 공간 표시만이 아니다. 파일시스템 메타데이터와 디렉터리 구조, 데이터베이스 페이지, 애플리케이션 데이터가 포함될 수 있었다. 반면 다른 고객의 활성 데이터를 바꾸거나 서비스의 가용성을 훼손할 수 있다는 점은 입증되지 않았다. 문제의 성격은 데이터 변조보다 남아 있던 정보를 읽을 가능성에 있었다. 출처

Cloudflare는 무엇을 바꿨나

첫 조치는 새로 할당하는 블록을 초기화하도록 skip_block_zeroing 설정을 제거한 것이었다. 연구자는 이 변경 이후 기존 개념증명 방식이 더는 작동하지 않는다고 독립적으로 확인했다. 앞으로 재사용되는 저장 공간에서 같은 방식으로 이전 내용이 읽히지 않도록 한 조치다. 출처

하지만 설정을 바꾸는 것만으로는 이미 실행 중이던 디스크나 캐시된 이미지 스냅샷에 남은 기존 매핑을 없앨 수 없었다. Cloudflare는 컨테이너 디스크를 폐기하고 사전 완성된 이미지 스냅샷 캐시를 삭제했으며, 호스트를 순차적으로 비우고 가상 머신을 재시작했다. 회사는 사전 완화 시점의 캐시 스냅샷 정리를 2026년 9월 19일 완료했다고 밝혔다. 출처

실제로 고객 데이터가 유출됐나

Cloudflare는 보유한 과거 디스크 입출력 원격측정 자료를 분석한 결과, 연구자와 자사 엔지니어가 승인받아 진행한 검증 외에 해당 기법과 일치하는 추가 활동을 찾지 못했다고 밝혔다. 고객 데이터 침해의 증거도 없다는 설명이다. 다만 이는 Cloudflare가 보유한 자료를 분석해 내린 결과로, 모든 가능성이 절대적으로 없었다는 뜻으로 확대해서 읽어서는 안 된다. 출처

지금 확인하고 할 일

Containers나 Sandboxes를 이용한다면 가장 먼저 궁금한 것은 설정을 직접 바꿔야 하는지일 것이다. Cloudflare의 공지에는 고객 측 별도 설정 변경이나 추가 조치가 필요하지 않다고 명시돼 있다. 이번 수정은 고객이 자신의 컨테이너 안에서 수행하는 작업이 아니라, Cloudflare가 저장 공간의 할당 방식과 기존 디스크·캐시를 정리하는 방식으로 진행됐다. 출처

따라서 이 사안을 이유로 모든 고객이 이미 데이터 침해를 겪었다고 단정하거나, 반대로 잠재적으로 노출될 수 있었던 데이터의 종류를 가볍게 볼 필요도 없다. 확인된 변화는 새 블록의 초기화와 기존 저장 공간의 정리가 이뤄졌다는 것이고, 고객에게 안내된 행동은 별도의 변경 없이 공지 내용을 확인하는 것이다. 출처