Ubuntu, 치명적 커널 취약점 2주째 미패치
원제: WTF Ubuntu?
왜 중요한가
유료 보안 구독을 판매하는 Canonical의 패치 지연은 Ubuntu 기반 기업 인프라의 신뢰성 전반에 의문을 제기한다.
2026년 11월 2일 기준, CVSS 9.8 등급의 Linux 커널 TCP 취약점(CVE-2026-98432)이 공개된 지 2주가 넘도록 Ubuntu는 패치를 배포하지 않고 있다. Anthropic이 원격 root 탈취 익스플로잇까지 공개한 상황에서, Debian·Arch·Alpine 등 자원봉사 기반 배포판은 이미 수정판을 출시했다.
문제의 CVE-2026-98432는 2016년부터 Linux 커널 TCP 코드에 존재해 온 취약점으로, CVSS 점수 9.8의 '치명적(Critical)' 등급을 받았다. 사실상 지구상 모든 Linux 서버가 영향권에 있으며, 원격 공격이 가능하다.
Debian은 10월 16일 패치를 배포했다. Arch와 Alpine도 신속히 수정판을 냈다. 그러나 Ubuntu는 취약점 등급이 9.8로 확정된 지 9일, Anthropic이 완전한 root 익스플로잇을 공개한 지 6일이 지난 11월 2일 시점에도 모든 지원 릴리스(LTS 포함)가 "Vulnerable" 상태다.
Canonical은 자사 웹사이트에서 "timely patches for critical vulnerabilities"를 약속하고 있으며, "Enterprise-grade", "Production grade", "Enterprise resilience"등의 문구를 내세우고 있다. 블로그 저자는 이 같은 마케팅 문구와 실제 대응 속도 간의 괴리를 강하게 비판했다.
저자는 즉각적인 마이그레이션이 여의치 않아 Ubuntu를 운영 중인 서버를 전부 오프라인으로 전환했다고 밝혔다. 보안 구독 서비스를 유료로 판매하는 Canonical이 자원봉사 기반 배포판보다 늦다는 점에서, Ubuntu에 대한 신뢰를 완전히 잃었다고 선언했다.