리눅스 TCP 취약점 CVE-2026-98432, CVSS 9.8
원제: TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
왜 중요한가
인증 없이 root 권한 탈취가 가능한 원격 익스플로잇이 실증됐고, Go 기반 서버 대다수가 기본 설정만으로 공격 대상이 되는 상황이어서 즉각적인 패치 대응이 요구된다.
2026년 10월 15일, Linux 커널 IPv4 TCP 핸드셰이크에서 원격 비인증 공격자가 악용 가능한 use-after-free 취약점 CVE-2026-98432(CVSS 9.8)가 공식 수정됐다. Anthropic 연구원이 보고했으며, Claude 모델이 작성한 PoC 익스플로잇으로 root 권한 탈취가 확인됐다. Ubuntu와 RHEL은 10월 31일 기준 아직 패치를 배포하지 않았다.
CVE-2026-98432는 Linux 4.4 이상 커널의 IPv4 TCP 핸드셰이크 처리 코드에 존재하는 use-after-free 취약점이다. 커널 자체 CNA(CVE Numbering Authority)가 CVSS 3.1 기준 9.8(Critical)로 평가했으며, Red Hat도 10월 30일 기존 Important(8.1)에서 Critical(9.8)로 등급을 상향 조정했다.
취약점은 애플리케이션이 연결을 인식하기 이전 단계, 즉 서버가 IPv4 TCP 연결을 수락하는 시점에 발동된다. 이는 모든 Linux 서버가 영향권에 있음을 의미한다. 수정 버전은 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3이며, upstream 패치는 단 4줄 변경이다.
Anthropic 연구원이 이 취약점을 최초 보고했고, 자사 AI 모델 Claude가 작성한 개념 증명(PoC) 익스플로잇이 multipath TCP 리스너가 활성화된 Linux 서버에서 인증 없이 root 명령 실행에 성공했다. Go Security Team에 따르면 Go 프로그램은 기본적으로 multipath TCP 리스너를 활성화하므로, 실제 공격 표면이 당초 예상보다 넓다.
10월 31일 오후 5시 15분 CDT 기준, Debian·SUSE Enterprise·Oracle UEK·Amazon Linux는 수정 커널을 제공 중이나, Ubuntu는 전 릴리스에서 여전히 'Vulnerable' 상태이고 RHEL 8·9·10도 미수정 상태다. 즉각 패치가 불가한 경우 IPv4 옵션이 포함된 TCP 패킷을 차단하고, 불필요한 multipath TCP를 비활성화하는 임시 조치가 권고된다.