Ubuntu, 치명적 커널 취약점 패치 2주일 방치
원제 WTF Ubuntu?
776 포인트댓글 394
Key Point
기업 지원 배포판이 자원봉사 기반 배포판보다 보안 패치 대응이 느린 역설적 상황을 드러내며, 서버 환경에서 신뢰할 수 있는 배포판 선택의 중요성을 시사한다.
핵심 요약
- CVE-2026-98432는 2016년부터 존재해온 Linux 커널 TCP 코드의 치명적(CVSS 9.8) 취약점으로, 원격에서 악용 가능하며 서버 완전 장악을 초래할 수 있다.
- Anthropic이 실제 작동하는 근권 탈취 익스플로잇을 구축했고, Debian은 10월 16일에 패치를 배포했다.
- 그러나 Ubuntu는 2주일 이상 패치를 배포하지 않았으며, 모든 지원 중인 릴리스(LTS 포함)가 '취약함'으로 표기되어 있다.
- Ubuntu 웹사이트는 '중요 취약점에 대한 신속한 패치'를 약속하지만, CVSS 9.8 평가 이후 9일, 실제 익스플로잇 공개 이후 6일이 지난 시점에도 패치가 배포되지 않았다.
- 자원봉사자 기반 배포판(Debian, Arch, Alpine)들은 이미 수정본을 배포했으나, 보안 구독 서비스를 판매하는 Canonical 회사가 운영하는 Ubuntu는 뒤처졌다.
- 저자는 Ubuntu에 대한 신뢰를 완전히 잃었으며 모든 서버를 오프라인으로 전환해야 했고, Ubuntu를 다른 배포판으로 교체할 계획이다.