대상: Linux 서버를 운영하는 사람, 특히 PHP, WordPress, Laravel을 쓰는 웹 서버와 컨테이너를 운영하는 팀. 이 글은 CISA의 경보와 카탈로그, 커널 프로젝트의 CVE 기록, Ubuntu, Red Hat, Debian 페이지, 한 보안 기업의 보고를 바탕으로 합니다. 공격 절차나 익스플로잇 코드는 다루지 않습니다.
진행 중: 새로운 내용이 발표되면 이 페이지를 업데이트합니다
2026년 10월 29일 00:00 UTC 기준아직 알려지지 않음
- 누가 어느 범위로 공격받고 있는지(CISA는 세부 내용을 공개하지 않음)
- 보안 기업 보고에 나온 방화벽의 벤더와 버전
- NVD 자체 평가
- 다른 배포판과 어플라이언스 제조사가 수정된 커널을 배포했는지
커널 프로젝트는 2026년 5월 23일 CVE를 공개했습니다. CISA는 10월 28일(미국 시간) 기한 10월 31일로 KEV 카탈로그에 추가했습니다. Ubuntu, Red Hat, Debian의 배포판 커널은 이미 제공되고 있습니다.
1. PHP 결함 (CVE-2026-109618 / 109619)
웹 서버 계정으로 코드 실행. 수정: PHP 업데이트
웹 디렉터리에 남은 웹셸
자신이 추가하지 않은 PHP 파일을 찾기
2. 커널 결함 (CVE-2026-46300)
웹 계정이 root가 됨. 수정: 커널 업데이트와 재부팅
오늘 해야 할 일
서버가 PHP를 실행하는지, 또는 누구든 로컬에서 코드를 실행할 수 있는지 확인
CISA가 PHP 연계를 설명하므로 PHP를 실행하는 웹 서버가 최우선입니다. 신뢰할 수 없는 사용자나 코드가 실행될 수 있는 공유 서버, CI 러너, 컨테이너 호스트 등도 중요합니다. 이 결함에는 권한이 낮은 로컬 계정만 있으면 되기 때문입니다(이 사이트의 견해).
PHP 업데이트
PHP 8.5.12, 8.4.27, 8.3.36 또는 8.2.35 이상으로 옮기십시오. 자세한 내용은 PHP 관련 글에 있습니다. 커널 업데이트로는 PHP 결함이 수정되지 않습니다.
수정된 커널 설치
배포판의 업데이트 도구를 쓰고 결과를 아래 표와 비교하십시오. Ubuntu, Red Hat, Debian이 수정된 커널을 공개했습니다.
재부팅한 뒤 실행 중인 커널 확인
재부팅한 뒤 uname -r을 실행하십시오. 설치만 되고 실행 중이지 않은 패키지는 보호해 주지 않습니다. CISA의 기한이 10월 31일이므로 재부팅은 다음 정기 유지보수가 아니라 오늘로 계획하십시오.
웹셸과 root 접근의 징후 확인
CISA는 이 항목에 포렌식 트리아지가 필요하다고 표시했습니다. 자신이 추가하지 않은 PHP 파일, 웹 디렉터리에서 최근 변경된 파일, 새 사용자 계정, 새 예약 작업, 새 SSH 키, 낯선 외부 연결이 있는지 확인하십시오. 하나라도 있다면 서버가 침해된 것으로 간주하고 서버가 침해되었는지 확인하는 방법을 참고하십시오.
수정 버전
| 커널 계열 | 수정 버전 | 출처 |
|---|---|---|
| 5.10 | 5.10.257 | Linux 커널 CVE 기록 |
| 5.15 | 5.15.208 | Linux 커널 CVE 기록 |
| 6.1 | 6.1.174 | Linux 커널 CVE 기록 |
| 6.6 | 6.6.141 | Linux 커널 CVE 기록 |
| 6.12 | 6.12.91 | Linux 커널 CVE 기록 |
| 6.18 | 6.18.33 | Linux 커널 CVE 기록 |
| 7.0 | 7.0.10 | Linux 커널 CVE 기록 |
| 7.1 이후 | 영향 없음 | Linux 커널 CVE 기록 |
배포판은 업스트림 버전 번호를 바꾸지 않고 수정을 백포트하므로, 패키지로 설치한 커널은 업스트림 번호만이 아니라 배포판의 패키지 버전을 기준으로 판단하십시오.
| 배포판 | 수정된 커널 패키지 |
|---|---|
| Ubuntu 26.04 LTS | 7.0.0-22.22 |
| Ubuntu 25.10 | 6.17.0-35.35 |
| Ubuntu 24.04 LTS | 6.8.0-124.124 |
| Ubuntu 22.04 LTS | 5.15.0-181.191 |
| Ubuntu 26.10 및 20.04 이하 | 영향 없음으로 표시됨(Ubuntu) |
| RHEL 8 | 4.18.0-553.125.1.el8_10 |
| RHEL 9 | 5.14.0-687.10.1.el9_8 |
| RHEL 10.2 | 6.12.0-211.16.1.el10_2 |
| Debian 12 (bookworm) | 6.1.190-1 (보안) |
| Debian 13 (trixie) | 6.12.113-1 (보안) |
Ubuntu는 수정된 클라우드 및 특수 용도 커널(AWS, Azure, GCP, Oracle, IBM, Raspberry Pi, 실시간, FIPS 계열)도 공개하므로, 실제로 쓰는 계열은 Ubuntu 페이지에서 확인하십시오. Red Hat은 이전 확장 지원 스트림의 수정도 공개하며, 이 결함은 OpenShift처럼 RHEL 커널 기반 제품에도 영향을 줍니다. 네트워크 어플라이언스처럼 벤더 커널을 쓰는 호스트는 어플라이언스 제조사의 업데이트가 필요합니다.
공개된 내용
- CVE
- CVE-2026-46300, Ubuntu와 Red Hat이 Fragnesia라는 별칭을 붙임
- 유형
- 변수 초기화 누락(CISA 카탈로그의 CWE-456). Red Hat은 write-what-where 조건(CWE-123)으로 분류
- 심각도
- CVSS v3.1 7.8 (AV:L/AC:L/PR:L/UI:N). Red Hat은 Important, Ubuntu는 High로 평가
- 위치
- 커널 네트워크 코드(net/core/skbuff.c의
skb_try_coalesce())와 IPsec ESP-in-TCP 수신 경로 - 영향
- 권한이 낮은 로컬 사용자가 읽기 전용 파일의 메모리 캐시 사본에 데이터를 쓸 수 있고, 이는 root 권한 획득으로 이어질 수 있음. Ubuntu는 컨테이너 탈출도 가능할 수 있다고 밝힘
- 수정
- 위 표 참고. CVE 기록은 2026년 5월 23일 자
- 악용 확인
- 2026년 10월 28일(미국 시간) CISA의 KEV 카탈로그에 "Linux Kernel Missing Initialization of a Variable Vulnerability"로 추가됨. 기한 10월 31일. 포렌식 트리아지 필요. 랜섬웨어 사용: 알 수 없음
커널 프로젝트의 설명에 따르면, 두 네트워크 버퍼 사이에서 페이지 데이터를 옮기는 함수가 데이터가 파일의 캐시 사본처럼 버퍼 밖의 무언가와 공유되고 있음을 나타내는 표식을 놓쳤습니다. IPsec ESP 코드는 그 표식을 보고 제자리에서 복호화해도 되는지 판단합니다. 표식이 사라지자 캐시된 파일 데이터 위에 복호화했습니다. 수정은 표식을 그대로 전달합니다.
로컬 권한 상승은 이렇게 생각하십시오. 공격자를 서버에 들여보내 주는 것이 아니라, 작은 발판을 전체 장악으로 바꿉니다. PHP 결함처럼 발판을 주는 결함과 결합하면 침입이 완성됩니다.
이것은 Red Hat이 공지 RHSB-2026-003에서 다룬 Dirty Frag 결함과 같은 계열이며, 그 공지는 Red Hat 제품에 영향을 주는 것으로 CVE-2026-43284(IPsec ESP)와 CVE-2026-46300을 열거합니다. 앞서 Dirty Frag를 패치한 호스트도 이 수정이 필요합니다(이 사이트의 견해).
악용과 PHP 연계
CISA의 카탈로그 항목은 이 결함이 「CVE-2026-109618, CVE-2026-109619와 연계되어 PHP 웹셸을 심고 root 권한으로 명령을 실행할 수 있다」고 밝힙니다. 이 두 PHP 결함은 10월 26일 기한 10월 29일로 KEV 카탈로그에 추가되었습니다. CISA는 누가 어떻게 표적이 되었는지는 공개하지 않았습니다.
한 보안 기업은 10월 26일, 공격자가 두 PHP 결함과 이 커널 결함을 조합해 서버 25대(대부분 이름이 밝혀지지 않은 한 벤더의 인터넷 노출 방화벽 어플라이언스)의 root 권한을 얻었다고 보고했습니다. SecurityWeek은 10월 28일 이 보고를 되풀이했습니다. 보고에 따르면 PHP 결함은 제한된 웹 서버 계정으로 코드 실행을 주었고 커널 결함은 root를 얻는 데 쓰였습니다. 보고는 영향받은 장비가 미국, 일본, 대만, 한국에 걸쳐 있다고 합니다. 이 기업은 벤더에 알렸다고 하며 벤더와 버전은 밝히지 않았습니다. 설명에 따라 표현이 다르며(방화벽 24대와 관리 서버 1대, 또는 합계 25대), 이 사이트는 근거 데이터를 확인할 수 없었습니다. 수치는 확립된 사실이 아니라 한 기업의 보고로 취급하십시오.
웹 관리 인터페이스가 있는 어플라이언스를 운영한다면 제조사에 펌웨어가 영향을 받는지 문의하고, 관리 인터페이스를 인터넷에 열어 두지 마십시오(이 사이트의 견해).
아직 업데이트할 수 없을 때의 임시 방편
Red Hat의 공지는 esp4와 esp6 모듈이 사용 중인지(lsmod | grep -E 'esp4|esp6') 확인하고, IPsec이 필요 없다면 차단하라고 안내합니다. 이는 많은 VPN 구성을 포함한 IPsec을 깨뜨리므로 먼저 확인하십시오. Red Hat은 또한 권한 없는 사용자 네임스페이스를 제한하는 더 좁은 방법도 설명하는데, 이는 루트리스 컨테이너와 샌드박스된 브라우저에 영향을 줄 수 있습니다. Ubuntu는 Dirty Frag에 대해 공개한 것과 같은 절차를 가리킵니다. 어느 벤더도 이것을 수정된 커널의 대체로 제시하지 않습니다. 정확한 절차는 벤더 페이지를 따르고, 수정된 커널로 부팅한 뒤 차단을 해제하십시오.
아직 알려지지 않은 사항
| 항목 | 상태 |
|---|---|
| 누가 악용하고 있는가 | CISA는 활발한 악용이라고 하지만 세부 내용은 없음. 보안 기업의 설명은 검증되지 않음 |
| 보고에 나온 방화벽 벤더 | 해당 기업이 밝히지 않음 |
| 공개된 익스플로잇 코드 | 다른 곳에서 보도됨. 이 사이트는 검증하지 않았으며 링크하지 않음 |
| NVD 평가 | 작성 시점에 이 사이트가 확인하지 못함 |
| 다른 커널 | 어플라이언스 제조사와 클라우드 이미지는 배포판보다 늦게 수정을 배포할 수 있음 |
출처
2026년 10월 29일에 확인했습니다(CISA의 카탈로그 데이터와 경보, CVE 기록, Ubuntu, Red Hat, Debian).
- CISA, "CISA Adds Two Known Exploited Vulnerabilities to Catalog" (2026년 10월 28일) — cisa.gov / Known Exploited Vulnerabilities Catalog — cisa.gov
- CVE Program 기록 CVE-2026-46300 (Linux 커널 CNA, Red Hat 수정 버전 포함) — cve.org
- NVD, "CVE-2026-46300" — nvd.nist.gov
- Ubuntu, "CVE-2026-46300" — ubuntu.com / "Dirty Frag Linux vulnerability fixes available" — ubuntu.com
- Red Hat, "CVE-2026-46300" — access.redhat.com / "Dirty Frag (RHSB-2026-003)" — access.redhat.com
- Debian 보안 트래커, "CVE-2026-46300" — security-tracker.debian.org
- 방화벽을 노린 PHP2Shell 연계에 관한 한 보안 기업의 보고 (2026년 10월 26일) — 보고(영어)
- SecurityWeek, "China-Linked Hackers Exploit PHP2Shell to Root Firewalls" (2026년 10월 28일) — securityweek.com
업데이트 기록
2026-10-29: 최초 버전. CISA의 10월 28일 KEV 등재, CVE 기록, Ubuntu, Red Hat, Debian의 정보를 바탕으로 작성했습니다.
다음으로 읽을 글
- 연계의 PHP 쪽: PHP 취약점 CVE-2026-109618 및 CVE-2026-109619
- 서버 점검: 서버가 침해되었는지 확인하는 방법
- 우선순위 정하기: 무엇을 먼저 패치할지 정하기: CVSS, EPSS, KEV
- 취약점이 공개되었을 때: CVE 대응 플레이북
- 용어: RCE(원격 코드 실행)란 무엇인가 / CVSS란 무엇인가