대상: Linux 서버, 특히 인터넷에 노출된 서버를 운영하는 사람과 Go로 네트워크 서비스를 만드는 팀. 이 글은 NVD의 CVE 기록, Debian, Ubuntu, Red Hat, SUSE의 페이지, Go 프로젝트의 보안 공지, BleepingComputer의 보도를 바탕으로 합니다. 공격 절차나 익스플로잇 코드는 다루지 않습니다.
진행 중: 새로운 정보가 나오는 대로 이 페이지를 업데이트합니다
- 대상
Linux 서버, 특히 인터넷에 노출된 서버를 운영하는 사람과 Go로 네트워크 서비스를 만드는 팀.
- 확인된 영향 범위표 보기 ↓
- 결함
- 업스트림 수정 버전
- Debian의 수정된 커널
- 아직 확인되지 않은 사항
- Ubuntu와 Red Hat의 수정된 커널
- MPTCP가 없는 서버에 대해서도 원격 코드 실행이 되는지
- 실제 악용 여부
1개 더 보기
- NVD 자체의 평가(상태: Received)
- 지금 할 일절차 보기 ↓
- 외부에서 IPv4 TCP 연결을 받는 Linux 서버 목록 만들기
- 수정된 커널이 있는 곳에는 설치하기
- 재부팅한 뒤 실행 중인 커널 확인하기
2개 더 보기
- 수정이 아직 없다면 업체의 임시 완화책을 적용하고 노출을 줄이기
- Go 프로그램을 포함해 MPTCP로 리스닝하는 서비스 찾기
- 확인처(출처)출처 전체 ↓
- NVD, 'CVE-2026-98432'
- 마지막 확인
- 2026년 11월 1일(JST) 기준
후속 발표 예정과 확인 기록
Red Hat의 공지는 '진행 중(Ongoing)'으로 표시되어 있으며 수정을 서두르고 있다고 합니다. Ubuntu는 수정을 진행 중으로 표시합니다. Debian은 수정된 커널을 배포했습니다.
오늘 해야 할 일
외부에서 IPv4 TCP 연결을 받는 Linux 서버 목록 만들기
인터넷에 노출된 거의 모든 Linux 호스트가 해당하며, 컨테이너 호스트와 가상 머신도 포함됩니다. CVE는 이 공격에 계정도 사용자 조작도 필요 없다고 평가하므로(CVSS v3.1 9.8), 인터넷에서 닿는 서버부터 시작하세요(이 사이트의 관점).
수정된 커널이 있는 곳에는 설치하기
Debian에서는 bookworm은 보안 아카이브의 6.1.190-1, trixie는 6.12.113-1이 필요합니다. SUSE는 일부 스트림은 릴리스되었고 일부는 진행 중이므로 SUSE 페이지에서 제품을 확인하세요. Ubuntu와 Red Hat은 출처의 페이지를 지켜보세요. 11월 1일에는 수정된 커널이 나열되어 있지 않았습니다.
재부팅한 뒤 실행 중인 커널 확인하기
재부팅 후 uname -r을 실행하세요. 설치된 패키지가 실행 중인 커널이 아니면 보호되지 않습니다. 이 CVE를 다루는 업체의 라이브 패치도 인정되지만, SUSE는 대부분의 스트림에서 라이브 패치를 진행 중으로 표시하므로 먼저 업체 페이지를 확인하세요.
수정이 아직 없다면 업체의 임시 완화책을 적용하고 노출을 줄이기
Red Hat은 IP 옵션이 붙은 들어오는 IPv4 TCP 패킷을 버리는 필터를 설명하며, 노출을 줄일 수는 있어도 패치를 대신할 수는 없다고 합니다. 먼저 테스트하고, 커널이 수정된 뒤에는 제거하세요. 가능하면 서비스에 닿을 수 있는 사람을 신뢰할 수 있는 네트워크로 제한하세요. BleepingComputer가 나열한 완화책입니다.
Go 프로그램을 포함해 MPTCP로 리스닝하는 서비스 찾기
Go 프로젝트의 보안 팀은 Go 1.24 이상이 Linux의 리스닝 소켓에서 MPTCP를 기본으로 켠다고 말하므로, Go 서비스는 아무도 선택하지 않았어도 MPTCP를 쓸 수 있습니다. 팀은 프로그램별로 끄는 방식을 노출을 줄이는 취약한 방법이라 설명하며, 가장 좋은 수정은 패치된 커널이라고 합니다. 이는 대체가 아니라 추가 조치로 하세요.
수정된 커널 있음
Debian 12와 13, 일부 SUSE 제품. 설치하고 재부팅하고 uname -r 실행
수정 진행 중
Ubuntu, RHEL 및 관련 제품. 업체의 임시 완화책을 쓰고 노출을 줄임
함께 확인
Go 1.24 이상 서비스를 포함한 MPTCP 리스너
수정된 버전
| 커널 계열 | 영향 없음 시작 버전 | 출처 |
|---|---|---|
| 5.10 | 5.10.272 | NVD의 CVE 기록(커널 CNA) |
| 5.15 | 5.15.223 | 동일 |
| 6.1 | 6.1.190 | 동일 |
| 6.6 | 6.6.159 | 동일 |
| 6.12 | 6.12.113 | 동일 |
| 6.18 | 6.18.56 | 동일 |
| 7.2 | 7.2.10 | 동일 |
| 7.3 이후 | 최초 수정 커밋으로 수정됨(Debian: 업스트림 7.3-rc7) | NVD, Debian |
NVD에 따르면 영향 범위는 커널 4.4까지 거슬러 올라갑니다. 각 브랜치에 고유한 수정 버전이 있으므로, 업스트림 번호가 아니라 배포판의 패키지 버전으로 판단하세요.
| 배포판 | 2026년 11월 1일 상태 |
|---|---|
| Debian 12 (bookworm) | 수정됨: 6.1.190-1 (security) |
| Debian 13 (trixie) | 수정됨: 6.12.113-1 (security) |
| Debian testing 및 unstable | 수정됨: 7.2.12-1 및 7.2.14-1 |
| Ubuntu 26.10, 26.04 LTS, 24.04 LTS, 22.04 LTS | 취약, 수정 진행 중 |
| Ubuntu 20.04, 18.04, 16.04 | 취약, 버전 미기재 |
| Ubuntu 14.04 | 영향 없음 |
| RHEL 8, 9, 10; OpenShift | 영향 있음; Red Hat 페이지에 수정 미기재. 공지 상태 '진행 중(Ongoing)' |
| SUSE Linux Enterprise Server 16.0, 15 SP4–SP6 LTSS, Micro 5.4, 5.5, 6.2 | 수정 릴리스됨 |
| SUSE Linux Enterprise Server 15 SP7, 대부분의 라이브 패치 스트림 | 진행 중 |
| SUSE Linux Enterprise Server 12 SP5, Micro 6.0 및 6.1 | 영향 있음 |
SUSE는 자사 페이지가 불완전하거나 오래되었을 수 있다고 밝혔습니다. Red Hat은 RHEL 커널을 기반으로 한 제품(RHEL CoreOS, OpenStack Platform, Virtualization 등)도 영향을 받을 수 있다고 나열합니다. 클라우드, 어플라이언스 및 기타 업체의 커널은 각자의 일정을 따릅니다.
공개된 내용
- CVE
- CVE-2026-98432, 2026년 10월 15일 공개. NVD 상태 Received, 마지막 수정 10월 31일
- 유형
- Use-after-free(CVE 기록에 CWE는 없음)
- 심각도
- 커널 CNA 기준 CVSS v3.1 9.8 (AV:N/AC:L/PR:N/UI:N). Ubuntu: High, 9.8. Red Hat: Critical (CVE 페이지에 예비 9.8). SUSE: important, 8.1 (공격 복잡도를 High로 평가)
- 위치
- 커널의 IPv4 TCP. IP 옵션 구조체(
inet_opt와ireq_opt)가 읽는 쪽을 기다리지 않고 해제되어ip_options_build()에서 use-after-free가 발생함. 요청 소켓 마이그레이션의 관련 사례도 함께 수정됨 - 유발 조건
- Debian의 트래커에 따르면, 재전송된 SYN이 자식 소켓 생성과 경쟁하면 해제된 뒤의 옵션을 읽을 수 있음. IPv6는 주된 문제의 영향을 받지 않음
- 수정
- 이 구조체들을 RCU grace period 뒤에 해제함(
kfree_rcu()). NVD에는 여덟 개의 stable 브랜치 커밋이 참조되어 있음 - 악용
- 확인한 자료에서 확인된 실제 악용 없음. 11월 1일 CISA KEV에 없음
쉽게 말해, 커널이 연결 옵션을 담은 작은 메모리 조각을 해제했는데 다른 부분이 아직 그것을 읽을 수 있었습니다. 해제된 뒤에 읽힌 메모리는 다른 용도로 재사용될 수 있고, 이런 종류의 결함은 크래시나 커널 권한으로 실행되는 코드로 이어질 수 있습니다.
Red Hat은 주된 영향을 시스템 크래시로 인한 서비스 거부(DoS) 또는 잠재적인 메모리 손상이라고 설명합니다. 그 CVE 페이지는 Critical 평가를 이렇게 설명합니다. 인증되지 않은 원격 공격자가 표준 IPv4 TCP 트래픽으로 커널 메모리 손상이나 즉각적인 크래시를 일으킬 수 있으며, 신뢰할 수 있는 코드 실행에는 메모리의 정밀한 제어가 필요합니다. BleepingComputer는 Red Hat이 이 결함을 가능한 서비스 거부로 5.9로 평가했다고 전했습니다. 이 사이트가 11월 1일에 확인한 Red Hat 페이지는 대신 Critical과 예비 9.8을 보여 줍니다. 평가는 출처마다 다르고 바뀌었을 수 있으므로, 사용하는 제품의 페이지를 확인하세요.
MPTCP 시연과 AI라는 측면
BleepingComputer는 10월 30일, 한 AI 기업의 연구자들이 MPTCP 리스너가 있는 Linux 서버에 대해 그 회사의 미공개 AI 모델이 개발한 익스플로잇을 사용해 실험실에서 root 권한의 원격 코드 실행을 시연했다고 전했습니다. 이는 BleepingComputer가 인용했지만 검증하지는 않은 회사 자체 보고에 따른 것입니다. Go 프로젝트의 보안 팀은 10월 29일 oss-security 목록에 중계된 공지에서 비슷한 진술을 했습니다. MPTCP 리스너가 있는 서버가 원격 코드 실행에 취약함이 확인되었고, 이 버그는 MPTCP에만 국한되지 않는다는 것입니다. 이 사이트는 시연 자체를 검토하지 않았고 링크하지도 않습니다.
BleepingComputer에 따라 보여진 것과 보여지지 않은 것:
- 시연된 코드 실행에는 MPTCP 리스너가 필요했습니다
- MPTCP 리스너가 없는 서버에 대한 원격 코드 실행은 공개적으로 시연되지 않았습니다
- 보도 시점에 실제 악용은 확인되지 않았습니다
MPTCP는 커널에서 선택 사항이지만, Go 프로젝트의 보안 팀은 Go 1.24 이상이 Linux의 리스닝 소켓에서 이를 기본으로 켠다고 말합니다. 그래서 Go 네트워크 서비스를 운영하는 팀은 자신의 리스너를 확인해야 합니다.
방어하는 쪽의 교훈은 속도입니다. AI 모델이 공개된 커널 수정을 작동하는 익스플로잇으로 바꿀 수 있다면, 패치가 공개되고 공격이 가능해지기까지의 간격은 예전보다 짧을 수 있습니다(이 사이트의 관점). 다음 정기 점검 시간이 아니라 업체의 첫 수정된 커널이 나오는 대로 업데이트해야 하는 이유입니다.
알려진 것과 알려지지 않은 것
| 항목 | 공개된 내용 | 상태 |
|---|---|---|
| 결함 | IPv4 TCP에서 IP 옵션의 use-after-free; 커널 CNA 기준 CVSS 9.8, Ubuntu High 9.8, Red Hat Critical(예비), SUSE 8.1 | 확인됨(커널 CNA, NVD, 업체) |
| 업스트림 수정 버전 | 5.10.272부터 7.2.10까지, 위에 나열 | 확인됨(NVD의 CVE 기록) |
| Debian의 수정된 커널 | 6.1.190-1과 6.12.113-1 | 확인됨(Debian 트래커) |
| Ubuntu와 Red Hat의 수정된 커널 | 확인한 페이지에 미기재 | 진행 중(업체) |
| MPTCP 리스너가 있을 때의 원격 코드 실행 | 한 AI 기업 연구자들이 실험실에서 시연했다고 보도됨 | 보도됨(BleepingComputer, Go 프로젝트 보안 팀) |
| MPTCP가 없을 때의 원격 코드 실행 | 공개적으로 시연되지 않음; Go 프로젝트 보안 팀은 비슷한 공격이 가능할 수 있다고 경고 | 아직 알려지지 않음 |
| 실제 악용 | 확인된 것 없음; 11월 1일 CISA KEV에 없음 | 아직 알려지지 않음 |
| NVD 자체의 점수 | 아직 부여되지 않음(상태 Received) | 아직 알려지지 않음 |
출처
2026년 11월 1일에 확인했습니다.
- NVD, 'CVE-2026-98432' — nvd.nist.gov
- Debian 보안 트래커 — security-tracker.debian.org
- Ubuntu — ubuntu.com
- Red Hat, 공지 RHSB-2026-016 — access.redhat.com / CVE 페이지 — access.redhat.com
- SUSE — suse.com
- Go 프로젝트의 보안 공지, oss-security에 중계(2026년 10월 29일) — openwall.com
- BleepingComputer, 'Critical Linux kernel flaw allows remote root attacks on MPTCP servers'(2026년 10월 30일) — bleepingcomputer.com
- CISA 알려진 악용 취약점 카탈로그(11월 1일에 이 CVE 확인) — cisa.gov
업데이트 기록
2026-11-01: 11월 1일 기준 NVD, Debian, Ubuntu, Red Hat, SUSE의 페이지, Go 프로젝트의 보안 공지, BleepingComputer의 보도를 바탕으로 한 첫 버전.
다음으로 읽을 글
- 최근의 악용되고 있는 커널 취약점: Linux 커널 Fragnesia(CVE-2026-46300)
- 우선순위 정하기: 무엇을 먼저 패치할지 정하기: CVSS, EPSS, KEV
- 제대로 고치기: CVE 대응 플레이북
- 공격자가 AI를 쓸 때의 방어: AI 기반 사이버 공격 방어
- 용어: RCE(원격 코드 실행)란 무엇인가 / CVSS란 무엇인가