qwreey.moe 서비스 상태

paste.qwreey.moe 복구: 새 인프라로 옮긴 첫 서비스

paste.qwreey.moe를 새로 구성한 인프라로 옮겨 다시 열었습니다. 기존 붙여넣기는 모두 그대로 옮겨졌습니다.

새 구성에서는 서비스마다 네트워크가 분리되어, 한 서비스에 문제가 생겨도 다른 서비스로 번지지 않습니다. 나머지 서비스도 같은 방식으로 하나씩 옮겨 차례로 다시 열 예정입니다.

백업 단계 진입: 공개 서비스 전체 중단

chat.qwreey.moe(Matrix), git.qwreey.moe(Forgejo), lang.qwreey.moe(Weblate), paste.qwreey.moe를 추가로 내렸습니다. 이제 공개 서비스는 모두 중단된 상태이며, 서비스가 멈춘 상태에서 데이터베이스와 파일을 서비스별로 백업하고 있습니다.

Matrix 연합 메시지는 상대 서버가 재전송을 시도하지만, 중단 기간이 길어지면 일부 메시지가 늦게 도착하거나 누락될 수 있습니다.

Node.js 취약점 대응으로 nyanpuppu.moe, PeerTube 선제 중단

Node.js 보안 업데이트(CVE-2026-111497, CVE-2026-105483, CVE-2026-106069, CVE-2026-105482)가 공개되어, Node.js 기반 서비스를 예정보다 앞당겨 내렸습니다. 대상은 nyanpuppu.moe(Misskey), peertube.qwreey.moe, 그리고 일부 개인용 서비스입니다.

두 연합 서비스는 다른 서버의 데이터를 받아 처리하므로 영향 범위에 해당한다고 판단했습니다. 두 서비스의 로그와 관리 기록을 점검한 결과, 취약점이 악용된 흔적은 확인되지 않았습니다. 복귀는 패치된 런타임(Node.js 22.23.4 / 24.22.1 / 26.12.1 이상)을 확인한 뒤에 진행합니다. PeerTube는 런타임 메이저 버전 교체가 필요해서 다른 서비스보다 복귀가 늦어질 수 있습니다.

데이터베이스 백업은 중단 전에 완료했습니다.

전체 재구성 및 보안 점검 안내

전체 서비스 배포 스택의 균형을 위해 시스템 재구성이 필요한 상황입니다. 현재 운영 중인 모든 프로덕션을 먼저 백업하고, 안전한 상태에서 재구축할 예정입니다.

데이터 유실은 없을 예정입니다. 다만 작업 기간 동안 연합(ActivityPub) 수신이 되지 않습니다. 주변 인스턴스 운영자분들께 양해를 부탁드립니다.

배포 스택은 VM과 k3s 기반으로 완전히 다시 작성됩니다(LXC → VM, Docker → k3s). 이 과정에서 망 분리를 포함한 전체 보안 감사와 로그 점검을 함께 진행합니다.

보안 사안 관련 현재까지의 확인 내용

CVE-2026-99999
에이전트는 모두 bridge 기반 네트워크 처리를 포함한 격리망에서 동작하고 있었으며, 경로상 공격이 성립할 수 없었습니다. 내부 경로에서의 공격도 확인되지 않았습니다. 이미 3일 전 6785011f8b16 ("ipv4: validate checksum_start before completing checksum") 커밋이 포함된 커널 빌드를 적용했으며, 이상은 없는 상태입니다.

CVE-2026-109618 / CVE-2026-109619
영향 범위에 있던 프로덕션은 2fauth와 Nextcloud로, 둘 다 취약한 버전의 PHP를 포함하고 있었습니다. 2fauth는 프록시 인증 게이트 뒤에 있어 제3자 접근이 불가능했고, 로그상으로도 문제가 없었습니다. Nextcloud는 공개 후 약 하루 내에 내렸으며, 그 기간의 로그상 이상 징후는 없었습니다. 다만 요청 단위의 기록이 없어 아직 최종 확인은 아닙니다.