CVE-2026-98432: Critical Linux Kernel TCP Flaw Enables Remote Code Execution

Linux 커널의 IPv4 TCP 네트워킹 스택에서 발견된 심각한 취약점은 인증되지 않은 원격 공격자가 메모리 손상, 시스템 충돌을 유발하고 잠재적으로 루트 권한으로 임의의 코드를 실행할 수 있게 합니다. CVE-2026-98432로 추적되는 이 결함은 CVSS 3.1 점수 9.8을 받았으며, Linux 커널 4.4 버전부터 존재했습니다.

이 취약점은 이미 해제된 메모리를 커널이 IP 옵션 데이터를 액세스할 수 있도록 하는 경쟁 조건에서 비롯됩니다. 노출된 IPv4 TCP 서비스에 도달할 수 있는 공격자는 IPv4 옵션이 포함된 특수한 타이밍의 연결 요청을 사용하여 이 조건을 유도하려고 시도할 수 있습니다. 인증, 로컬 권한, 사용자 상호작용은 필요하지 않습니다.

보안 관심이 크게 높아진 것은 Anthropic의 내부 Claude 연구 모델이 Multipath TCP(MPTCP) 리스너가 있는 Linux 서버에 대해 원격 루트 명령 실행을 달성할 수 있는 작동하는 익스플로잇을 개발했다는 것을 공개한 이후였습니다. 이 익스플로잇은 처음에 KASLR을 우회하기 위해 커널 포인터를 누출하고 동일한 해제 후 사용 조건을 이용하여 메모리를 손상시키고 커널 제어 흐름을 재지정합니다. Anthropic은 익스플로잇 코드를 공개하지 않았습니다.

중요하게도, 기본 취약점은 MPTCP에만 국한되지는 않습니다. Red Hat은 MPTCP가 비활성화된 경우에도 일반적인 IPv4 TCP 네트워킹을 사용하는 시스템이 취약하다고 확인했으며, 기본 Red Hat Enterprise Linux 구성도 포함됩니다.

영업 문의

2026년 11월 4일 기준으로, 실제 공격에서 결함이 확인된 악용 사례에 대해 보고한 Linux 벤더, CERT, 또는 다른 검토된 소스는 없습니다. 취약점의 일부를 보여주는 공공 연구 코드가 존재하지만, Anthropic이 시연한 완전한 원격 루트 기능을 제공하는 공개적으로 출시된 익스플로잇은 문서화되지 않았습니다.

보안 팀은 SOC Prime의 AI-Native Detection Intelligence Platform을 사용하여 새롭게 나타나는 취약점의 악용 방어를 강화하고, 위협 인텔리전스를 운영화하며, SIEM, EDR, XDR 및 데이터 레이크 환경 전반에서 위협 사냥을 가속화할 수 있습니다.

IP 옵션이 포함된 비정상적인 IPv4 TCP 트래픽, 경쟁 조건을 유도하려는 반복적인 연결 시도, 커널 충돌이나 메모리 손상 이벤트, 성공적인 익스플로잇 후 활동을 나타낼 수 있는 의심스러운 활동을 모니터링하여 CVE-2026-98432를 탐지하십시오.

모든 CVE에 대해 탐지 컨텐츠가 제공되는 것은 아닙니다. SOC Prime 플랫폼에서 현재 범위를 확인하십시오. 관련 탐지가 아직 출시되지 않은 경우, 새로운 위협 인텔리전스와 탐지 컨텐츠가 지속적으로 추가되므로 다시 확인하십시오.

CVE-2026-98432 분석

CVE-2026-98432는 Linux 4.4에서 도입된 취약한 구현 코드를 포함한 Linux 커널의 IPv4 TCP 연결 처리 코드에 영향을 미칩니다. Linux 커널 CVE 팀은 문제를 CVSS 3.1 점수 9.8로 매우 심각한 것으로 분류하며, 벡터 AV/AC/PR/UI/S/C/I/A입니다.

이 취약점은 동시에 발생하는 TCP 연결 처리 중에 발생하는 해제 후 사용 조건입니다. IPv4 TCP 연결이 설정되면, tcp_v4_syn_recv_sock()이 보류 중인 요청과 관련된 IP 옵션을 새로 생성된 소켓으로 전송하지만, 별도의 복제를 수행하지 않습니다.

다른 CPU는 동일한 요청 소켓과 관련된 재전송된 SYN을 동시에 처리할 수 있습니다. 이 과정에서 SYN-ACK 생성을 담당하는 기능이 RCU 읽기 측 중요한 섹션에 의해 보호되는 동안 IP 옵션을 계속 읽습니다.

그러나 자식 소켓이 해당 작업이 진행 중일 때 파괴될 수 있습니다. 그 후 커널은 kfree()를 사용하여 관련 inet_opt 구조를 해제하고, 그로 인해 다른 CPU가 이미 해제된 메모리에 액세스할 가능성을 남깁니다. 이로 인해 ip_options_build()에서 해제 후 사용 조건이 생깁니다.

net.ipv4.tcp_migrate_req=1 또는 BPF 기반 SK_REUSEPORT_SELECT_OR_MIGRATE를 사용하는 구성을 포함하여 요청 소켓 마이그레이션 중에도 유사한 경쟁 조건이 존재합니다. 상류 수정은 안전하지 않은 메모리 해제를 RCU 인식의 해제로 대체하여 리더가 개체를 액세스하는 것을 완료한 후에야 메모리를 회수할 수 있도록 합니다.

첫 번째 문제는 특히 IPv4에 영향을 미칩니다. 커널 권고에서는 IPv6이 tcp_v6_syn_recv_sock()이 관련 옵션을 중복 복제하기 때문에 동일한 방식으로 옮기지 않아서 이 특정 경쟁에 취약하지 않다고 명시합니다.

원격 익스플로잇은 특별히 구성된 네트워크 트래픽과 경쟁 조건의 정밀한 조작이 필요합니다. Red Hat은 가능한 결과로 커널 충돌, 메모리 손상, 잠재적인 원격 코드 실행을 포함할 수 있다고 언급합니다. 인증 및 사용자 상호작용의 부족은 신뢰할 수 없는 네트워크에 TCP 서비스를 노출하는 시스템의 위험성을 크게 증가시킵니다.

Anthropic은 이 취약점이 전체 원격 루트 익스플로잇으로 변환될 수 있음을 시연했습니다. 그들의 연구 모델은 Multipath TCP 연결을 수락하는 Linux 서버를 대상으로 하여 두 단계로 명령 실행을 달성했습니다.

첫 번째 단계에서, 익스플로잇은 반복적으로 경쟁 조건을 유도하고 길이값을 조작하여 커널이 네트워크 응답에서 추가 인접 메모리를 반환하도록 합니다. 결국 이 응답 중 하나에서 커널 포인터가 포함된 정보를 얻습니다. 그렇게 함으로써 커널 메모리 레이아웃에 관한 정보를 공개하고, 익스플로잇이 커널 주소 공간 레이아웃 랜덤화를 패배시킬 수 있게 됩니다.

두 번째 단계에서는, 동일한 취약점을 사용하여 버퍼 오버플로를 일으키고, 콜백 포인터를 덮어씁니다. 이 포인터는 이전에 합법적인 프로토콜 기능을 사용하여 커널 메모리에 배치된 페이로드로 리다이렉트됩니다. 수정된 콜백이 커널에 의해 호출되면, 기존 커널 함수들이 체인 형태로 연결되어 공격자가 선택한 셸 명령이 루트로 실행됩니다.

익스플로잇의 특히 중요한 특징은 경쟁에서 지는 것이 서버를 꼭 충돌시키지는 않는다는 점입니다. 대신, 연결 시도가 단순히 실패할 수 있으며, 공격자는 반복적으로 다시 시도할 수 있게 됩니다. Anthropic의 테스트 환경에서는 유용한 커널 포인터를 얻는 데 약 48분이 걸렸고, 그 이후에는 루트 명령 실행을 달성하는 데 추가로 5분이 소요되었습니다.

이 시연은 MPTCP가 익스플로잇에 꼭 필요한 것은 아님을 해석해서는 안 됩니다. Anthropic은 MPTCP 리스너와 관련된 하나의 성공적인 익스플로잇 경로를 시연했지만, 취약한 코드는 일반적인 IPv4 TCP 처리에 존재합니다. Red Hat은 MPTCP가 기본적으로 비활성화되어 있음에도 불구하고 기본 RHEL 설치에서는 취약성이 완전하게 해결되지 않았음을 분명히 경고하고 있습니다.

또한, CVE-2026-98432 PoC 상황은 완전한 무기화된 익스플로잇의 존재와 차별화되어야 합니다. Anthropic은 내부적으로 작동하는 원격 루트 개념 증명을 개발했지만, 이를 공개하지 않았습니다. 보안 연구자가 보고한 공개 코드는 기본적인 경쟁과 메모리 공개 측면을 입증하거나 탐지할 수 있지만, 검토된 소스는 Anthropic의 전체 원격 코드 실행 체인을 재현하는 공개적으로 출시된 코드를 문서화하지 않았습니다.

이 취약점은 Anthropic 연구원 Xinyang Ge에 의해 보고되었습니다. 상류 Linux 수정은 2026년 10월 5일에 적용되었고, Linux 커널 CVE 기록은 10월 15일에 출판되었습니다. Anthropic은 그들의 완전한 익스플로잇 절차를 10월 27일에 공개적으로 설명했습니다.

Linux 커널 프로젝트는 다음의 상류 수정 버전을 식별합니다:

• Linux 5.10.272
• Linux 5.15.223
• Linux 6.1.190
• Linux 6.6.159
• Linux 6.12.113
• Linux 6.18.56
• Linux 7.2.10
• Linux 7.3

커널 팀은 개별 커밋을 선택하는 대신 최신의 안정적인 커널로 업그레이드할 것을 권장합니다.

배포판에 따른 노출과 완화 방법은 다릅니다. Linux 벤더는 자체 커널을 유지 관리하고 보안 수정을 백포트하기 때문입니다. Red Hat은 현재 문제를 9.8로 심각하게 평가하고 있으며 여러 RHEL 8, 9 및 10 스트림에 대한 수정 사항을 출시했습니다. OpenShift와 영향을 받는 RHEL 커널에 의존하는 계층 제품도 주목해야 합니다.

Ubuntu도 이 취약점을 9.8로 심각하게 평가합니다. Ubuntu 26.10은 수정된 일반 커널을 받았으며, Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS에 대한 수정 사항은 11월 초에 제안된 테스트 주머니에서 사용할 수 있었고, 추가 지원 릴리스는 수정 사항을 기다리고 있습니다. 관리자들은 상류 커널 버전 번호에만 의존하지 않고 Canonical의 CVE 페이지를 사용해야 합니다.

CVE-2026-98432 탐지를 위해, 보안 팀은 네트워크와 호스트 원격 측정 데이터를 결합해야 합니다. 잠재적인 네트워크 수준 사냥 신호에는 IP 옵션이 포함된 비정상적인 들어오는 IPv4 TCP 패킷, 특히 레코드 경로 또는 타임스탬프 옵션과 비정상적인 SYN 재전송 패턴이 포함된 반복적인 연결 시도가 포함됩니다. 이러한 트래픽의 존재만으로 익스플로잇을 확인하는 것은 아니지만, 취약한 시스템과 연관시키면 유용한 사냥 축이 됩니다.

호스트 수준 모니터링에는 Linux 커널 충돌, 커널 경고, 메모리 손상 지표, 의외의 서비스 재시작 및 의심스러운 네트워크 트래픽 직후의 이상 활동이 포함되어야 합니다. 성공적인 익스플로잇이 이론적으로 루트 코드 실행을 제공할 수 있기 때문에, 방어자는 예기치 않은 고권한 프로세스, 새롭게 생성된 파일, 구성 변경, 지속성 메커니즘, 이상 없는 발신 연결을 모니터링해야 합니다.

현재로서는 CVE-2026-98432에 공격자-specific한 IoC는 없습니다. 검토된 소스에서 실제 익스플로잇을 보고하지 않았기 때문입니다. 방어자는 정적 지표에 의존하기보다는 행위 기반 탐지와 노출 평가를 우선시해야 합니다.

CVE-2026-98432 완화

결정적인 보완 조치는 보안 픽스가 포함된 벤더 공급 커널을 설치하는 것입니다. Linux 커널 CVE 팀은 모든 지원되는 최신 안정 커널로 이동할 것을 권장하며, Linux 배포판 사용자는 벤더가 특별히 공급한 패키지를 설치해야 합니다. 수정 사항은 일반적으로 상류 커널 버전을 변경하지 않고 백포트 되기 때문에 그렇습니다.

관리자는 인터넷에 직접 연결되는 Linux 서버와 들어오는 IPv4 TCP 연결을 수용하는 다른 시스템을 우선시해야 합니다. 취약점은 개별 애플리케이션 또는 서버 제품이 아닌 커널 네트워킹 스택에 존재하기 때문에 공격 표면이 넓습니다.

기관은 다음 단계를 수행해야 합니다:

1. uname -r과 같은 도구를 사용하여 Linux 서버의 인벤토리를 작성하고 실행 중인 커널을 식별하십시오.
2. 노출을 결정할 때 상류 버전 번호만 신고하기보다는 관련 Linux 배포판의 보안 공지를 확인하십시오.
3. 업데이트된 커널이 제공되면 벤더가 제공하는 고정 커널을 즉시 설치하십시오.
4. 시스템이 패치된 커널을 실행하고 있는지 확인하기 위해 업데이트된 커널을 설치한 후 영향을 받는 시스템을 재부팅하십시오.
5. 인터넷에 직접 연결되는 서버 및 들어오는 IPv4 TCP 트래픽을 수용하는 인프라에 우선순위를 두십시오.
6. 외부에서 노출된 TCP 서비스를 검토하고 불필요한 네트워크 접근성을 제한하십시오.
7. 수정 사항의 가용성은 Linux 배포판, 커널 변형, 클라우드 커널 및 지원 채널에서 다르므로 벤더의 권고를 계속 모니터링하십시오.

Red Hat과 Ubuntu는 IP 옵션이 포함된 들어오는 IPv4 TCP 패킷을 삭제하는 중간 패킷 필터링 방식을 문서화했습니다. 권장하는 nftables 조건은 5보다 큰 IPv4 헤더 길이를 확인하고 일치하는 TCP 패킷을 취약한 소켓 처리 경로에 도달하기 전에 삭제합니다.

이 조치는 노출을 줄일 수 있습니다. 알려진 익스플로잇 경로는 IPv4 옵션을 필요로 하기 때문입니다. 그러나 두 벤더는 패킷 필터링이 수정된 커널을 설치하는 대체 방법이 아니며, IPv4 옵션에 의존하는 워크로드와의 간섭 가능성이 있으므로 생산 환경 배포 전에 테스트해야 한다고 경고합니다.

MPTCP 비활성화만으로는 충분한 보호로 간주되지 않아야 합니다. Anthropic의 작동하는 익스플로잇이 MPTCP 리스너를 대상으로 하긴 했지만, 기본 취약점은 정상적인 IPv4 TCP 처리에 있습니다. Red Hat은 기본 구성의 RHEL이 여전히 취약하다고 명시합니다.

Go 애플리케이션을 사용하는 환경에서는 자동 MPTCP 동작을 비활성화하여 Anthropic이 시연한 특정 익스플로잇에 대한 노출을 줄일 수 있지만, 이는 불완전한 위험 감소 조치입니다. MPTCP 리스너가 없는 시스템은 안전하다고 자동적으로 간주되어서는 안 됩니다. 다른 익스플로잇 기법이 동일한 근본적인 레이스를 목표로 할 수 있기 때문입니다.

실제 세계에서의 타협 캠페인이 확인되지 않았기 때문에, 사건 대응 지침은 현재 잠재적으로 취약한 시스템과 의심스러운 익스플로잇 행동을 식별하는 데 집중되어야 하며, 알려진 공격자 인프라 세트를 찾는 데 집중해서는 안 됩니다. 비정상적인 TCP 트래픽에 뒤이어 커널 불안정성이나 예상치 못한 고권한 실행을 관찰한 조직은 이 활동을 잠재적으로 악의적이라고 취급하고 조사할 네트워크와 호스트 원격 측정 데이터를 보존해야 합니다.