CVE-2026-98432 Linux 커널 취약점 대응 가이드

CVE-2026-98432는 Linux 커널의 IPv4/TCP 처리 과정에서 발생하는 Use-After-Free(해제된 메모리 사용) 취약점입니다. 커널 충돌·메모리 손상 위험이 있으며, Anthropic은 MPTCP 리스너가 노출된 서버에서 인증이나 사용자 조작 없이 root 권한으로 명령을 실행하는 공격을 실증했습니다.

Linux CNA의 CVSS v3.1 평가는 9.8 Critical입니다. 배포판별 위험도와 패치 상태는 다를 수 있으며, 이 글은 공개 권고문을 바탕으로 정리한 대응 가이드입니다.

역할별로 먼저 할 일

보안담당자

외부에서 TCP 서비스에 접근할 수 있는 Linux 자산부터 확인하십시오. 물리 서버·VM·컨테이너 호스트의 배포판, 실행 중인 커널, 설치된 커널 패키지를 함께 조사합니다. uname -r과 cat /etc/os-release로 기본 정보를 확인한 뒤, 해당 배포판의 CVE 공지와 패키지 릴리스 번호를 대조하십시오.

공개된 공격 시연의 조건인 외부 접근 가능한 MPTCP 리스너를 우선 확인하고 Go 기반 서비스도 점검 대상에 포함하십시오. MPTCP 리스너가 없다는 이유로 패치 대상에서 제외해서는 안 됩니다. 커널 버전 숫자만 보지 말고 배포판의 백포트 여부도 확인해야 합니다.

CISO

인터넷 노출과 서비스 영향을 기준으로 패치 우선순위를 정하십시오. 공개 연구에서 MPTCP 환경의 root 원격 코드 실행이 실증됐습니다. Linux CNA는 CVSS v3.1 9.8, Red Hat은 8.1로 평가하며 Red Hat의 제품 위험도는 Important입니다. 연구 환경의 실증, 배포판별 평가, 실제 운영망에서의 악용 여부는 구분해야 합니다.

실무에서는 공개 TCP 서비스, 중요 업무 서버, 다수 서비스가 공유하는 호스트를 먼저 확인하십시오. 배포판별 수정 패키지 제공 여부와 재부팅·서비스 전환 일정을 한 목록으로 관리하고, 완료 기준에는 실행 중인 커널의 수정 적용 확인을 포함하십시오.

개발자

애플리케이션 라이브러리가 아니라 운영체제 커널을 확인해야 합니다. 배포판이 제공하는 수정 커널 패키지를 적용하고, 재부팅 후 실제 실행 커널을 확인하십시오. 컨테이너만 다시 빌드하거나 애플리케이션만 재시작하는 것으로 호스트 커널의 수정 적용을 대신할 수 없습니다.

net.ipv4.tcp_migrate_req=0으로 바꿔도 재전송 SYN을 처리하는 기본 경로의 문제까지 해결되지는 않습니다. 커널 프로젝트는 개별 커밋만 골라 적용하기보다 수정 사항이 포함된 안정 릴리스로의 업데이트를 권고합니다.

소규모 기업 · 외주 운영

운영 업체에 CVE 번호와 함께 조치 결과를 요청하십시오. “CVE-2026-98432 영향 여부, 서버의 배포판과 커널 패키지, 수정 버전 제공 여부, 적용 및 재부팅 완료 여부를 확인해 주세요”라고 전달하면 됩니다.

관리형 호스팅은 제공 업체의 공지를, 직접 운영하는 VM은 게스트 운영체제의 커널 상태를 확인하십시오. 패치가 아직 없다면 불필요한 외부 접근을 제한하고 수정 공지를 계속 확인해야 합니다.

CVE 상세

IPv4 TCP 연결을 만드는 과정에서 요청 소켓과 자식 소켓이 공유하는 옵션 메모리가 다른 CPU에서 사용 중인 채 해제될 수 있습니다. 재전송 SYN에 대한 SYNACK 응답을 만들거나 요청 소켓을 이동하는 과정의 경쟁 조건이 원인입니다. 수정 코드는 RCU 유예 기간이 지난 뒤 메모리를 해제하도록 변경합니다.

Linux CNA와 Red Hat의 현재 CVSS 평가는 기밀성·무결성·가용성 영향을 모두 높게 봅니다. 공격 복잡도는 Linux CNA가 Low, Red Hat이 High로 평가해 점수가 다릅니다. Red Hat 점수는 검토 중인 잠정 평가입니다. 공개 연구의 MPTCP 원격 코드 실행 실증과 실제 운영 환경의 노출을 함께 확인하십시오. 평가 원문 확인 ↓

2026-10-30 15:45 KST 확인 · KEV 목록 2026-10-29판 · EPSS 2026-10-29 산출. 위험 지표는 수시로 바뀝니다.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Linux 커널 Use-After-Free, 쉽게 이해하기

이미 반납한 메모리를 다시 사용합니다

한 작업이 쓰고 있는 메모리를 다른 작업이 먼저 반납하는 문제입니다. 반납한 공간이 다른 용도로 재사용됐는데도 예전 주소로 읽거나 쓰면 잘못된 데이터에 접근하게 됩니다.

웹사이트 주소만으로 확인할 수 있나요?

이 취약점은 운영체제 내부의 TCP 처리 문제입니다. 웹 응답 헤더나 PHP 버전으로 판정할 수 없으므로, 서버의 실행 커널과 배포판 패치 이력을 확인해야 합니다.

IPv6를 사용하면 괜찮나요?

공식 설명상 IPv6는 첫 번째 IPv4 옵션 공유 문제의 영향을 받지 않습니다. 다만 CALIPSO 옵션과 관련된 IPv6 요청 소켓 이동에는 별도의 문제가 언급돼 있습니다. IPv6 사용만으로 서버 전체가 안전하다고 판단하지 마십시오.

영향 버전 및 수정 버전

아래는 Linux CNA가 공개한 업스트림 커널 기준입니다. 원인 변경은 4.4에 도입됐으며, 각 릴리스 계열에서 아래 버전부터 수정 사항이 포함됩니다.

배포판 커널에는 이 숫자를 그대로 적용하지 마십시오. 예를 들어 Ubuntu의 6.8.0-…이나 RHEL 패키지는 배포판 보안 공지의 수정 릴리스 번호로 확인해야 합니다. 표에 없는 4.4 이상 계열도 영향 여부와 지원 상태를 별도로 확인하십시오. [Linux CNA]

배포판별 패치 확인

2026-10-30에 확인한 주요 제품·패키지의 공지 상태입니다. Ubuntu 16.04·18.04도 점검 대상입니다. Canonical은 두 버전의 linux 패키지를 Vulnerable로 표시합니다. 아래 표에 없는 버전이 안전하다는 뜻은 아니며, 같은 배포판에서도 일반·HWE·클라우드 커널에 따라 결과가 다릅니다.

Ubuntu의 “work in progress” 표시는 수정 패키지가 이미 배포됐다는 뜻이 아닙니다. Red Hat도 범용적인 완화책을 제시하지 않고 있습니다. 실제 조치 시점에는 위 링크에서 최신 상태를 다시 확인하십시오.

GCP VM에서도 실제 설치된 커널 패키지가 linux-gcp인지 확인하십시오. GCP 표의 버전을 일반 linux·HWE·GKE 커널에 그대로 적용할 수 없습니다.

수정 제공은 내 서버의 조치 완료와 다릅니다. 실제 설치·실행 중인 커널에 수정이 적용됐는지 확인해야 합니다. 지원 종료 등으로 표시되는 Ignored도 Not affected와 다르며, Ubuntu HWE·클라우드 커널, Oracle UEK·RHCK, SUSE의 서비스팩·패키지를 서로 같은 것으로 판단하지 마십시오.

조치 완료는 실행 중인 커널까지 확인

1. cat /etc/os-release와 uname -r로 배포판과 실행 커널을 확인합니다.
2. 배포판 공지에서 해당 커널 패키지에 수정 사항이 제공됐는지 확인하고 업데이트합니다.
3. 재부팅 또는 해당 CVE를 지원하는 라이브 패치 등 운영 환경에 맞는 적용 절차를 완료합니다.
4. 실행 커널·패치 적용 상태와 서비스 정상 동작을 확인하고 조치 결과를 기록합니다.

참고 대응 방안

MPTCP · Go 서비스에서 먼저 확인할 것

실증된 공격 경로와 근본 결함을 구분하십시오.

MPTCP(Multipath TCP)는 하나의 연결에 여러 네트워크 경로를 사용할 수 있게 하는 TCP 확장입니다. Anthropic이 공개한 비인증 root 코드 실행 사례는 MPTCP 리스너 노출을 조건으로 합니다. 다만 Go 보안팀은 근본 결함이 MPTCP에 한정되지 않으며, MPTCP 리스너가 없는 시스템에도 유사 공격이 가능할 수 있다고 설명합니다.

Go 1.24부터는 Linux의 리스닝 소켓에 MPTCP를 기본 사용하도록 동작이 바뀌었습니다. 실제 사용 여부는 커널 지원, 프로그램의 Go 호환성 설정과 소켓별 설정에 따라 다릅니다. Go 버전이나 커널의 MPTCP 활성화 설정만으로 외부 노출 여부를 단정하지 말고, 서비스가 생성한 리스너와 접근 경로를 확인하십시오.

MPTCP 기본 사용을 끄자는 Go 제안 #82717은 2026-10-30 확인 시점에 논의 중이며, 기본값 변경이 확정된 상태는 아닙니다. 해당 제안만 보고 운영 중인 프로그램의 MPTCP가 비활성화됐다고 판단하지 마십시오.

프로그램 환경의 GODEBUG=multipathtcp=0은 MPTCP 기본 사용을 끄는 임시 대응에 활용할 수 있지만, 명시적인 net.ListenConfig.SetMultipathTCP 설정은 이를 덮어쓸 수 있습니다. MPTCP 비활성화만으로 조치 완료로 판단하지 마십시오. Go 보안팀이 권고하는 근본 조치는 수정된 커널로의 업데이트입니다.

Anthropic 연구 · Linux RCE 실증 · Go 보안팀 공지 전문 · oss-security 전달본 · Go 1.24 기본 설정

원문 · 참고 자료

• Anthropic · MPTCP 환경의 비인증 root RCE 실증 — 공개 연구 · Linux 사례
• Go 보안팀 · CVE-2026-98432 대응 안내 — 공식 공지 전문 · oss-security 전달본
• Go · multipathtcp 기본 설정과 호환성 — Go 1.24 · GODEBUG
• Go · MPTCP 기본 사용 중단 제안 — 제안 #82717 · 논의 중 · 기본값 변경 미확정
• Linux 커널 · MPTCP 구조와 소켓 — 공식 커널 문서
• Linux CNA · CVE-2026-98432 공식 레코드 — CVSS · 영향 범위 · 백포트 버전
• Linux 커널 · IPv4 RCU 해제 수정 — 업스트림 수정 커밋
• NVD · CVE-2026-98432 — 취약점 데이터베이스
• Ubuntu · 배포판별 패치 상태 — Vendor Advisory
• Red Hat · 영향 평가와 대응 상태 — Vendor Advisory · CWE-825
• Red Hat · 위험도와 제품별 패치 상태 원본 — Security Data API · CVSS 8.1 · Important
• Debian · 보안 저장소 수정 패키지 — Security Tracker · bookworm / trixie
• Amazon Linux · 패키지별 수정 상태 — Amazon Linux 2 / 2023 · ALAS
• Oracle Linux · UEK 수정 Errata — Oracle Linux 7 / 8 / 9 / 10
• SUSE / openSUSE · 제품·패키지별 상태 — 수정 패키지 목록 · 서비스팩별 확인
• FIRST · EPSS 점수 설명 — 실제 악용 가능성 예측 지표
• FIRST · CVE-2026-98432 EPSS 원본 — 2026-10-29 산출
• CISA · 알려진 악용 취약점 목록 — Known Exploited Vulnerabilities