리눅스 커널서 CVSS 9.8 치명적 취약점 발견… 클로드 AI가 루트 탈취 코드까지 짰다

요약 리눅스 커널의 IPv4 TCP 핸드셰이크 처리 과정에서 원격 공격자가 인증 없이 악용할 수 있는 심각한 Use-After-Free(UAF) 취약점 'CVE-2026-98432'가 발견되었습니다. 커널 CNA 기준으로 심각도 점수 최고 수준인 CVSS 9.8(Critical)을 부여받았으며, 영향 범위는 리눅스 4.4 버전까지 거슬러 올라갑니다. 이 취약점의 핵심은 리눅스 서버가 TCP 연결을 수락하는 기본 과정에 위치한다는 점입니다. 클라이언트가 연결을 요청할 때 커널은 경량 '요청 소켓'을 통해 상태를 추적하고, IPv4 헤더에 옵션 데이터가 포함되어 있으면 이를 저장해 응답에 반영합니다. 그러나 이 과정에서 커널이 옵션 데이터를 제대로 복사하지 않은 채 넘겨주고, 연결이 종료될 때 메모리를 즉시 해제해 버리는 문제가 존재했습니다. 이로 인해 다른 CPU 코어가 핸드셰이크 응답을 생성하면서 이미 해제된 메모리를 참조하게 되는 Use-After-Free 버그가 발생합니다. 이 버그는 애플리케이션 계층에 도달하기 전인 커널의 네트워크 스택에서 발생하기 때문에, 원격의 공격자가 아무런 인증 권한 없이도 취약한 코드를 실행시킬 수 있습니다. 특히 이 취약점을 보고한 앤트로픽(Anthropic) 측은 자사의 AI 모델 클로드(Claude)가 멀티패스 TCP(MPTCP) 리스너가 켜진 리눅스 서버를 대상으로 인증 없이 루트(root) 권한으로 명령어를 실행하는 익스플로잇(PoC)을 직접 생성해 냈다고 밝혀 큰 충격을 주었습니다. 업스트림 커널에서는 5.10.272, 6.1.190, 6.6.159, 7.2.10 등 주요 안정화 버전에 단 4줄짜리 패치를 반영해 문제를 해결했습니다. 하지만 일반 서버에서 널리 쓰이는 우분투(Ubuntu) 전 버전과 RHEL 8, 9, 10 등 주요 배포판 커널에는 10월 29일 기준으로 아직 공식 패치가 배포되지 않았거나 작업 중인 상태로 남아 있어 시스템 관리자들의 주의가 요구되고 있습니다.