Linux Kernel 연결 처리 메모리 오류와 업데이트 안내

무슨 일이 생겼나요

KISA 보호나라는 Linux Kernel의 CVE-2026-98432를 해결하는 업데이트를 권고했어요. 이 문제는 함께 읽던 메모를 다른 사람이 먼저 버렸는데도 누군가는 계속 그 메모를 읽으려는 상황과 비슷해요. 네트워크 연결을 처리하는 과정에서 아직 읽고 있는 메모리가 먼저 해제될 수 있어요.

Linux Kernel은 운영체제의 중심에서 프로그램 실행과 메모리, 네트워크 통신을 관리하는 부분이에요. 이번 문제는 인터넷 통신 방식인 IPv4에서 TCP 연결 요청을 처리할 때 발생할 수 있어요. TCP는 통신 상대와 연결을 맺고 데이터를 주고받는 방식이에요. 연결 요청에 응답하는 작업과 연결 관련 메모리를 정리하는 작업이 겹치면서 문제가 생겨요.

수정의 핵심은 다른 처리 작업이 해당 메모리를 더 이상 읽지 않을 때까지 기다렸다가 해제하는 거예요. 해결 버전은 커널 계열마다 달라요. 따라서 모든 환경에 같은 버전 번호를 적용하기보다, 현재 사용하는 계열과 그 계열의 수정 기준을 함께 확인해야 해요.

기술적으로는 (초급 개발자용)

동작을 기준으로 보면 메모리를 해제한 뒤 다시 사용하는 오류예요. 프로그램이 사용을 끝냈다고 판단한 메모리에 다른 작업이 계속 접근하는 상황을 뜻해요. CWE는 소프트웨어 약점의 유형을 분류하는 체계인데, 이번 항목에는 CWE 분류가 기재되어 있지 않아요. 따라서 특정 CWE 번호로 단정하지 않고 실제 메모리 처리 과정을 살펴보는 게 적절해요.

연결 요청을 처리하던 커널은 IP 옵션 정보를 복사하지 않고 새 연결의 소켓으로 넘겨요. 소켓은 통신 연결을 관리하는 구조예요. 이때 다른 CPU가 같은 요청의 재전송을 처리하면서 연결 응답을 만들 수 있어요. 새 연결이 정리되며 옵션 메모리가 해제되면, 응답을 만드는 쪽은 이미 해제된 메모리에서 옵션 길이 같은 정보를 읽게 될 수 있어요.

RCU는 여러 작업이 공유 정보를 읽는 동안 그 정보를 안전하게 교체하거나 정리하기 위한 방식이에요. 이번 문제에서는 읽는 쪽이 RCU 보호 구간 안에 있어도, 메모리를 해제하는 쪽이 필요한 대기 없이 정리할 수 있었어요. 수정은 기존 읽기 작업이 끝날 때까지 기다리는 유예 기간을 거친 뒤 옵션 메모리를 해제하도록 해요. 문제가 생기는 처리 조건에는 같은 연결 요청의 재전송과 연결 정리가 겹치는 상황이 포함되지만, 이것만으로 공격에 필요한 모든 조건이나 공격 성공 결과까지 확정할 수는 없어요.

NVD에 기록된 CVSS 버전은 3.1이고 점수는 9.8, 심각도 표기는 CRITICAL이에요. CVSS는 취약점의 심각도를 공통 기준으로 평가하는 점수예요. 이 평가는 업데이트 우선순위를 높여 검토할 근거가 되지만, 개별 서버에서 실제 공격이 성공했다는 뜻은 아니에요. CISA KEV 에는 아직 등재되지 않았다.

누가 영향을 받나요

일반 사용자

사용 중인 기기나 서비스의 운영체제가 Linux Kernel을 사용하고 영향 범위에 해당한다면 업데이트 확인 대상이에요. 평소 사용하는 앱의 이름이나 화면만으로는 실행 중인 커널 버전과 수정 여부를 알기 어려워요. 직접 운영체제를 관리하지 않는 기기라면 제조사 공지에서 이번 취약점에 대한 업데이트 안내를 확인해요.

이번 문제는 사용자가 문서를 잘못 열거나 특정 앱을 잘못 조작해서 생기는 문제가 아니라, 커널의 네트워크 연결 처리에 있어요. 사용 습관을 바꾸는 것만으로 수정되는 문제로 보기는 어려워요. 해당 환경을 관리하는 제조사나 담당자의 업데이트 안내를 따라야 해요.

개발자

개발자는 애플리케이션 코드와 함께 실행 환경의 커널 수정 여부를 확인해야 해요. 문제 지점이 Linux Kernel의 연결 처리에 있으므로 애플리케이션 코드만 변경했다고 해결된 것으로 판단할 수는 없어요. 개발 환경과 서비스를 실행하는 환경의 커널이 다를 수 있으니 실제 운영 환경을 관리하는 담당자와 확인해요.

원인을 이해할 때는 공유 데이터를 읽는 작업과 그 데이터를 해제하는 작업의 관계에 주목하면 좋아요. 읽는 쪽에 보호 처리가 있다는 사실만으로 충분하지 않고, 해제하는 쪽도 그 읽기 작업이 끝날 때까지 기다려야 해요. 이번 수정은 연결 관련 옵션 정보를 정리하는 시점을 맞추는 데 초점이 있어요.

서버·장비 담당자

서버·장비 담당자는 설치된 패키지 목록뿐 아니라 현재 실행 중인 커널과 제조사 공지의 적용 대상을 함께 확인해야 해요. 네트워크 연결 요청의 재전송과 연결 정리가 겹치는 경로에서 발생하는 문제이므로, 연결을 처리하는 운영 환경의 커널 수정 여부가 점검의 중심이에요. 다만 네트워크 기능을 사용한다는 사실만으로 개별 장비의 공격 가능성이나 피해를 단정할 수는 없어요.

계열별 해결 기준은 5.10.272 이상, 5.15.223 이상, 6.1.190 이상, 6.6.159 이상, 6.12.113 이상, 6.18.56 이상, 7.2.10 이상이며, 7.3 이상도 해결 기준으로 안내됐어요. 이 기준을 하나의 연속된 숫자 범위로 합쳐 판단하지 말고, 사용 중인 계열에 대응하는 항목과 제조사 공지를 함께 대조해야 해요.

지금 할 일

1. 사용 중인 서버나 장비가 Linux Kernel을 사용하는지 확인하고, 직접 관리하는 환경에서는 실행 중인 커널 버전을 확인해요. 직접 관리하지 않는 환경은 제조사나 운영 담당자에게 CVE-2026-98432의 적용 여부를 확인해요.
2. 영향 범위와 해결 기준을 대조해요. 4.4 이상 5.10.272 미만은 5.10.272 이상, 5.15 이상 5.15.223 미만은 5.15.223 이상, 6.1 이상 6.1.190 미만은 6.1.190 이상이 해결 기준이에요.
3. 나머지 계열도 대조해요. 6.6 이상 6.6.159 미만은 6.6.159 이상, 6.12 이상 6.12.113 미만은 6.12.113 이상, 6.18 이상 6.18.56 미만은 6.18.56 이상, 7.2 이상 7.2.10 미만은 7.2.10 이상이 해결 기준이에요. 7.3 미만에 대해서는 7.3 이상이 해결 기준으로 안내됐어요. 앞선 계열별 수정 기준도 함께 확인해요.
4. 사용 중인 환경에 적용할 수정 패키지와 업데이트 절차를 제조사 공지에서 확인해요. 숫자가 더 크다는 이유만으로 임의의 다른 계열을 선택하지 말고, 제조사 공지의 업데이트 절차를 따라요.
5. 환경에 맞는 패키지 업데이트를 진행해요. 아래 명령은 실행 중인 커널 확인과 패키지 업데이트에 사용할 수 있지만, 명령이 끝났다는 사실만으로 이번 취약점의 수정 적용까지 확인한 것으로 보지는 않아요.
6. 제조사 공지에 따라 업데이트 적용과 재시작 필요 여부를 확인하고, 적용 후 실행 중인 커널의 수정 여부와 서비스의 연결 처리 상태를 점검해요.

uname -r

sudo apt update && sudo apt upgrade

sudo dnf upgrade

바로 업데이트하기 어렵다면

• 바로 업데이트하기 어렵다면 제조사 공지에서 임시 대응 안내를 먼저 확인해요. 그 안내와 서비스 운영 조건에 맞는 범위에서 불필요한 외부 노출을 줄이고 필요한 대상만 접근하도록 제한하는 방안을 검토해요. 이런 조치만으로 커널의 메모리 처리 오류가 수정되는 것은 아니므로 업데이트를 이어서 준비해요.

업데이트 후 확인

• 업데이트 후 실행 중인 커널 버전을 다시 확인하고, 사용 중인 계열의 해결 기준 및 제조사 공지와 대조해요.
• 수정 패키지의 설치 완료 여부와 실제 실행 중인 커널에 수정이 적용됐는지를 구분해 확인해요. 제조사 공지에서 요구하는 적용 절차가 남아 있는지도 살펴봐요.
• 업데이트 적용 후 서비스가 연결 요청을 정상적으로 처리하는지 확인해요. 서비스가 정상 동작한다는 사실과 취약점 수정 여부는 각각 확인해야 해요.

해외 동향 (NVD·CISA KEV)

CISA의 실제 악용 취약점 목록(KEV)에는 2026.10.30 확인 기준 아직 올라 있지 않아요.

제조사 공식 공지

• https://git.kernel.org/pub/scm/linux/security/vulns.git/tree/cve/published/2026/CVE-2026-98432.dyad

자주 묻는 질문

Q. 7.3 미만이면 계열별 해결 버전도 모두 영향받는다는 뜻인가요?

영향과 해결 표에는 7.3 미만에 대한 항목과 계열별 수정 버전에 대한 항목이 함께 있어요. 7.3 미만이라는 문구만 따로 적용해 앞선 해결 기준을 무시하면 안 돼요. 사용 중인 커널 계열에 대응하는 해결 버전과 제조사 공지를 함께 확인해요.

Q. CVSS 9.8이면 제 서버가 이미 공격받았다는 뜻인가요?

아니에요. CVSS 9.8은 취약점의 심각도 평가이며, 개별 서버의 침해 여부를 판정하는 결과가 아니에요. CISA KEV 에는 아직 등재되지 않았다.

Q. 패키지 업데이트 명령이 끝나면 확인도 끝난 건가요?

패키지 업데이트 완료와 실행 중인 커널의 수정 적용은 구분해서 확인해야 해요. 제조사 공지의 업데이트 절차를 따르고, 필요한 적용 과정을 마친 뒤 현재 실행 중인 커널이 해당 계열의 해결 기준에 맞는지 확인해요.