리눅스 커널 4.4 버전 이후부터 존재하는 심각한 보안 취약점인 '해제 후 사용(use-after-free)' 버그(CVE-2026-98432)가 발견되어 전 세계 리눅스 시스템에 비상이 걸렸습니다. 이 취약점은 원격 공격자가 인증 없이도 접근할 수 있으며, CVSS 3.1 기준 9.8점으로 '치명적(Critical)' 등급을 받았습니다. 특히 웹 서버, SSH, 데이터베이스, 로드밸런서, 쿠버네티스(Kubernetes) 노드 등 IPv4 TCP 연결을 수락하는 모든 호스트가 잠재적 공격 대상이 됩니다.
이 취약점은 TCP 연결 종료 시 IPv4 옵션 메모리가 즉시 해제되지만, 다른 CPU가 해당 메모리를 계속 읽으려 할 때 발생하는 경쟁 조건(race condition) 때문에 발생합니다. 이로 인해 커널 힙 정보 유출, 메모리 손상, 심지어 시스템 충돌까지 일으킬 수 있습니다. 인공지능(AI) 기업 앤트로픽(Anthropic)은 자사의 AI 모델 클로드(Claude)를 이용해 MPTCP 리스너가 있는 서버에서 인증 없이 루트(root) 명령을 실행하는 개념 증명(PoC) 익스플로잇(exploit)을 성공적으로 만들었다고 밝혔습니다. 이는 이 취약점이 단순한 서비스 거부(DoS)를 넘어 원격 코드 실행(RCE)으로 이어질 수 있음을 시사합니다.
현재 리눅스 커널 업스트림에서는 이미 수정 패치가 배포되었지만, 우분투(Ubuntu), 레드햇(Red Hat) 등 주요 리눅스 배포판들은 2026년 10월 29일 기준 아직 수정 패키지를 제공하지 않고 있습니다. 따라서 사용자들은 각 배포판의 보안 추적기를 확인하고, 수정 커널이 배포되는 즉시 설치 후 재부팅해야 합니다. 컨테이너(Container) 환경 역시 호스트 커널을 사용하므로, 컨테이너 이미지를 교체하는 것만으로는 해결되지 않으며 호스트 시스템에 패치를 적용해야 합니다. 패치 적용 전까지는 IPv4 옵션이 포함된 TCP 패킷을 차단하는 임시 완화 조치를 고려할 수 있지만, 이는 실제 익스플로잇에 대해 완전히 검증된 방법은 아닙니다. 이번 취약점은 리눅스 기반의 클라우드 인프라와 서버 운영에 광범위한 영향을 미칠 것으로 예상되며, 신속한 대응이 필수적입니다.