리눅스(Linux) 커널의 TCP 코드에서 CVSS 9.8점에 달하는 치명적인 원격 코드 실행 취약점(CVE-2026-98432)이 발견되어 전 세계 리눅스 서버에 비상이 걸렸습니다. 이 취약점은 2016년부터 존재해왔으며, 인공지능(AI) 연구 기업인 앤트로픽(Anthropic)이 서버의 루트(root) 권한을 완전히 탈취할 수 있는 익스플로잇(exploit)을 개발했다고 밝히면서 그 심각성이 더욱 부각되었습니다.
문제는 데비안(Debian), 아치(Arch), 알파인(Alpine) 등 다른 주요 리눅스 배포판들이 지난 10월 16일경 신속하게 패치를 배포한 반면, 우분투(Ubuntu)는 11월 2일(UTC) 기준으로 2주가 넘도록 패치를 내놓지 않고 있다는 점입니다. 특히 우분투는 장기 지원(LTS) 버전을 포함한 모든 지원 릴리스가 여전히 '취약(Vulnerable)' 상태로 표시되어 있으며, 유료 보안 구독 상품까지 판매하는 기업임에도 불구하고 자원봉사자 기반의 배포판들보다 대응이 늦어 사용자들의 불만이 폭발하고 있습니다. 일부 사용자는 신뢰를 잃고 모든 우분투 서버를 오프라인으로 전환하거나 다른 배포판으로 이전하겠다고 선언하는 상황입니다.
이번 사태는 우분투를 '엔터프라이즈급 품질'과 '신속한 보안 패치'를 약속하는 홍보 문구에 대한 신뢰를 크게 훼손하고 있습니다. 오랜 기간 AWS EC2나 디지털오션(DigitalOcean) 등 주요 클라우드 서비스에서 기본 선택지로 자리매김하며 '리눅스 VPS(가상 사설 서버)는 우분투'라는 인식을 심어주었던 만큼, 이번 지연 사태는 기업 고객과 개발자 커뮤니티 전반에 걸쳐 우분투의 명성에 큰 타격을 줄 것으로 보입니다. 특히 AI 기술 발전과 함께 새로운 버그 발견이 가속화되는 시점에서, 인프라 제공업체들의 보안 대응 속도와 수준이 더욱 중요해지고 있음을 시사합니다.