TCP

Linux 커널 CVE-2026-98432: 네트워크로 유발되는 TCP use-after-free(CVSS 9.8). 수정된 커널을 설치하고 재부팅하며 MPTCP도 확인하세요

CVE-2026-98432는 2026년 10월 15일에 공개된 Linux 커널 IPv4 TCP 코드의 use-after-free입니다. 커널 프로젝트의 CNA는 CVSS v3.1 9.8(네트워크, 권한 불필요, 사용자 조작 불필요)로 평가했습니다. 한 AI 기업의 연구자들이 자체 보고에서, 실험실 환경에서 Multipath TCP(MPTCP) 리스너가 있는 서버에 대해 root 권한의 원격 코드 실행을 시연했다고 알려졌습니다. BleepingComputer는 일반 TCP 서버에 대한 원격 코드 실행은 공개적으로 시연되지 않았고 실제 악용도 확인되지 않았다고 전하며, 이 사이트는 11월 1일에 이 CVE가 CISA의 KEV 카탈로그에 없음을 확인했습니다. 업스트림 수정은 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 이후에 들어 있습니다. 11월 1일 기준 Debian은 수정된 커널이 있고, SUSE는 일부가 있으며, Ubuntu와 Red Hat은 수정을 진행 중으로 표시합니다. MPTCP를 끄는 것만으로는 완전한 수정이 아닙니다. 이 사이트의 결론: 인터넷에 노출된 Linux 서버는 수정이 나오는 대로 업데이트하고 재부팅하며, 그때까지만 업체의 임시 완화책을 쓰세요.