리눅스 커널 IPv4 TCP 취약점 공개, CVSS 9.8

리눅스 커널의 IPv4 TCP 처리 코드에서 원격 코드 실행으로 이어지는 심각한 취약점 CVE-2026-98432가 공개됐습니다. 소켓 옵션이 동시 작업에서 아직 참조되는 동안 해제되는 use-after-free 결함으로, 인증 없이 네트워크 너머에서 공격할 수 있습니다. 커널 CNA와 레드햇은 CVSS 9.8을 매겼고, 결함 자체는 커널 4.4부터 들어 있었다고 합니다.

공격 조건은 들어오는 TCP 연결 요청에 Record Route나 Timestamp 같은 IPv4 옵션을 실어 보내고, 재전송된 연결 요청이나 소켓 마이그레이션 같은 경쟁 상태를 함께 유발하는 방식입니다. TCP 포트를 열어 인바운드 연결을 받는 서버라면 그대로 노출되는 셈이라, 웹서버나 리버스 프록시처럼 외부에 포트를 노출한 장비를 먼저 확인해야 합니다.

레드햇은 11월 1일 RHEL 8, 9, 10과 오픈시프트를 대상으로 긴급 커널 errata를 냈습니다. 반면 우분투는 22.04, 24.04, 26.04 LTS 패치가 아직 proposed 채널에만 올라와 있고 20.04와 그 이전 버전은 수정본이 없는 상태라, 배포판에 따라 적용 가능한 패치가 갈립니다. 레드햇은 IP 옵션이 붙은 인바운드 IPv4 TCP 패킷을 떨어뜨리는 nftables 규칙을 임시 완화책으로 안내하면서도, 이 방법이 배포 용이성과 적용 범위, 안정성 기준을 모두 충족하지는 못한다고 밝혔습니다.

이번 건은 발견 경위도 주목받고 있습니다. 레드햇 advisory가 참조 항목에 앤트로픽(Anthropic)의 연구 자료를 걸어 뒀고, 보도에 따르면 내부 AI 연구 모델이 자격 증명 없이 동작하는 원격 루트 익스플로잇을 독자적으로 만들어 냈다고 합니다. 패치를 미룰 이유가 없는 취약점이니, 외부에 TCP 포트를 연 리눅스 서버를 운영 중이라면 배포판 상태부터 점검해 보시길 권합니다.

🔗 https://access.redhat.com/security/vulnerabilities/RHSB-2026-016

🔗 https://aviatrix.ai/threat-research-center/red-hat-patches-98-rated-linux-tcp-rce-cve-2026-98432/