미국 사이버보안 및 인프라 보안국(CISA)은 세 가지 리눅스 커널 취약점이 실제 환경에서 활발하게 악용되고 있다고 발표했습니다. 9월 18일, 이 취약점들은 알려진 악용 취약점(KEV) 목록에 추가되었으며, 이에 따라 연방 기관들은 BOD 26-04 지침에 따라 72시간 이내에 해당 취약점에 대한 수정 조치를 시행해야 합니다. 하지만 이는 공공 부문만의 문제가 아닙니다. 서버부터 렌더 팜에 이르기까지 리눅스를 운영하는 모든 조직은 이 문제에 즉시 주목해야 합니다.
한편, 인공지능은 오픈소스 보안 환경을 완전히 바꿔놓고 있습니다. GLM-5.3과 같은 도구는 리눅스 커널을 포함한 주요 프로젝트에서 1,000개가 넘는 새로운 취약점을 발견했습니다. 하지만 이러한 취약점 발견의 홍수는 유지보수 담당자들에게 엄청난 부담을 주고 있으며, 그들은 사소하거나 중복된 보고서와 패치를 검토할 시간조차 부족합니다. 이러한 상황에 대해 리누스 토르발스조차 불만을 표명하며 향후 통합 시 더욱 엄격한 보안 조치를 시행할 것을 촉구했습니다.
CISA가 우려하는 세 가지 취약점
확인된 CVE는 CVE-2025-39682, CVE-2025-39964 및 CVE-2026-53266입니다. 첫 번째 CVE는 NVD 기준 7.1에서 SecurityWeek 기준 9.8에 이르는 CVSS 점수를 받았으며, TLS 소프트웨어 구현(net/tls/tls_sw.c)에 존재합니다. 공격자가 제로 카피 모드에서 길이가 0인 TLS 레코드를 처리할 때 버퍼의 참조 카운터가 손상되어 use-after-free 이벤트가 발생합니다. 이로 인해 커널 충돌부터 민감한 정보 유출까지 다양한 문제가 발생할 수 있습니다. 이 취약점은 버전 6.0부터 6.16.3 및 6.17-rc1/rc2 릴리스 후보에 영향을 미칩니다.
두 번째 취약점인 CVE-2025-39964는 사용자 공간 암호화 API의 AF_ALG 인터페이스에 있습니다. 이는 두 개의 동시 쓰기 작업이 동일한 소켓에서 데이터를 뒤섞어 내부 상태를 불안정하게 만드는 경쟁 조건입니다. CVSS 점수는 3.3(NVD), 5.5(Red Hat), 7.8(CNA)로 다양하지만, KEV 카탈로그에 포함되어 있다는 사실은 이 취약점이 실제로 존재하며 위험하다는 것을 확인시켜 줍니다. 마지막으로, CVE-2026-53266은 netfilter 브리지의 ebt_snat 타겟에 영향을 미치며, 비선형 소켓 버퍼에서 ARP 패킷을 처리할 때 커널 메모리에 범위를 벗어난 쓰기를 허용합니다. CVSS 점수가 8.8인 이 취약점은 로컬 권한 상승을 위한 명확한 벡터입니다.
AI가 커널 관리자들을 압도하고 있다
보고된 취약점의 증가는 우연이 아닙니다. 커널 레시피 2026 컨퍼런스에서 그렉 크로아-하트만이 발표한 데이터에 따르면, 커널 버전별로 패치된 CVE(공통 취약점) 수는 6.9~6.19 버전에서 약 500개였던 것이 리눅스 7.0부터는 1.000개 이상으로, 리눅스 7.2에서는 1.500개 이상으로 증가했습니다. 리눅스 7.3에서는 2.000개를 넘어설 것으로 예상됩니다. 이러한 증가의 상당 부분은 코드 감사에 인공지능을 활용한 덕분입니다 . 그러나 대부분의 발견 사항은 우선순위가 낮거나 구형 드라이버와 관련된 것이며, 중복된 발견도 많습니다.
유지보수 담당자들의 업무량이 감당할 수 없을 정도로 과중해졌습니다. 리누스 토르발스는 이미 커널의 보안 패치 목록이 "거의 완전히 관리 불가능한 수준"이 되었다고 경고한 바 있습니다. 네트워킹 서브시스템을 담당하는 야쿠브 키친스키는 "완전히 감당하기 힘들다"고까지 말했습니다. 게다가 토르발스는 많은 수정 사항들이 리눅스 7.1 RC5 릴리스와 같이 개발 후반 단계에 이르러서야 제출되는 경우가 많다고 불평했습니다. 그는 앞으로 더욱 엄격하게 대응하여 실질적인 가치가 없는 풀 리퀘스트는 거부하겠다고 밝혔습니다. 이러한 상황은 안정성에 영향을 미칠 뿐만 아니라, 중요한 패치가 수많은 패치 속에 묻혀버릴 수 있어 보안까지 위협할 수 있습니다.
관리자를 위한 권고사항 및 완화 조치
이러한 취약점들이 잇따라 발견됨에 따라 시스템 관리자는 신속하게 대응해야 하며 공식 패치에만 의존해서는 안 됩니다. CISA에서 보고된 세 가지 CVE의 경우, 우선적으로 사용 중인 배포판의 패치된 버전으로 커널을 업데이트해야 합니다. 최근 발견된 af_unix 취약점(CVE-2026-80521)의 경우, 6.10 버전부터 시작하여 6.1, 6.6 브랜치에 영향을 미치므로 해당 패치를 적용하는 것이 좋습니다. 하지만 모든 노드를 즉시 재시작할 수 있는 것은 아니므로, 보완적인 보안 조치를 마련해 두는 것이 권장됩니다.
CVE-2026-53266의 경우, ebtables 모듈은 상주 모듈을 언로드하고 /etc/modprobe.d/에서 향후 로드를 차단하는 스크립트를 사용하여 비활성화할 수 있습니다. 나머지 두 가지 취약점에 대해서는 Falco와 함께 eBPF를 사용하면 공격 시도를 조기에 감지할 수 있으며, seccomp 정책을 통해 관련 시스템 호출을 차단할 수 있습니다. 또한, containerd v2.2 이상 및 Kubernetes CRI v1.30에서 hostUsers: false를 사용하여 사용자 네임스페이스를 활성화하면 권한 상승의 영향을 줄일 수 있습니다. 이러한 조치와 지속적인 노드 모니터링을 통해 패치된 커널로 재부팅할 때까지 시간을 확보할 수 있습니다.
마지막으로, AI는 더 이상 사용되지 않는 코드를 정리하고 레거시 서브시스템을 제거하여 장기적으로 공격 표면을 줄이는 데에도 도움이 된다는 점을 기억하는 것이 중요합니다. 현재 상황은 혼란스럽지만 커널 생태계는 적응하고 있습니다. 관리자는 최신 정보를 파악하고 보안 감시 목록을 구독하며 KEV와 같은 공식 카탈로그에 등록된 취약점을 우선적으로 처리해야 합니다. 신속한 패치 적용과 심층 방어 체계 구축은 그 어느 때보다 리눅스 기반 운영 환경을 보호하는 데 필수적입니다.
