리눅스 서버 운영자라면 CVE-2026-98432를 그냥 지나치기 어렵다. 리눅스 커널의 TCP 처리 코드에 존재하는 이 결함은 CVSS 9.8의 '치명적(critical)' 등급을 받았고, 원격에서 공격이 가능하다. 더 심각한 점은 이 코드가 2016년부터 존재했다는 사실이다. 즉 지구상에 돌아가는 사실상 거의 모든 리눅스 서버가 이 결함을 안고 있다는 의미가 된다. 공격자가 특정 조건을 미리 갖춰야 하는 로컬 권한 상승과 달리, 네트워크를 통해 외부에서 직접 건드릴 수 있다는 점이 위험의 성격을 완전히 바꿔 놓는다.
추상적인 '가능성' 수준의 이야기가 아니다. Anthropic은 이 취약점을 이용해 서버에서 root 권한을 획득하는 실제 동작하는 익스플로잇을 만들었다고 밝혔다. root 탈취는 사실상 시스템 전체 장악을 뜻한다. 공격자가 커널 수준에서 최고 권한을 쥐면 그 서버 위에서 돌아가는 모든 데이터와 서비스, 그리고 그 서버가 신뢰하는 다른 시스템까지 연쇄적으로 위험에 노출된다. 개념 증명(PoC)이 아니라 작동하는 익스플로잇이 존재한다는 사실은, 대응 시간표가 더 이상 여유롭지 않다는 신호다.
자원봉사 배포판은 고쳤고, 유료 기업은 못 고쳤다
문제의 핵심은 취약점 자체보다 대응 속도의 격차에 있다. Debian은 10월 16일에 패치를 내놓았다. 반면 우분투는 그로부터 2주가 넘은 시점까지도 패치를 내놓지 못했고, LTS를 포함한 모든 지원 릴리스가 보안 추적 페이지에 '취약함(Vulnerable)'으로 표시돼 있었다. 글쓴이의 기록 기준으로는 9.8 등급이 매겨진 지 9일, 동작하는 root 익스플로잇이 공개된 지 6일이 지난 상태였다.
더 뼈아픈 대비는 운영 주체에 있다. Debian, Arch, Alpine처럼 자원봉사자들이 운영하는 배포판들은 이미 수정본을 배포했다. 그런데 보안 구독 상품을 돈 받고 파는 기업인 Canonical의 우분투는 그러지 못했다. 이 상황은 2026년 11월 2일 14시 48분(UTC) 기준으로 확인된 것이다. 유료 지원과 '엔터프라이즈 보안'을 전면에 내세우는 조직이, 금전적 보상 없이 움직이는 커뮤니티보다 느렸다는 점은 그 자체로 신뢰에 대한 질문을 던진다.
마케팅 문구와 실제 대응 사이의 간극
우분투 웹사이트는 '치명적 취약점에 대한 적시(timely) 패치'를 약속한다. 홍보 문구에는 '적시', '엔터프라이즈급', '프로덕션급', '엔터프라이즈 복원력' 같은 단어가 빼곡하다. 그러나 9.8 등급과 실제 익스플로잇을 앞에 두고도 패치가 나오지 않는 상황에서, 이런 단어들이 실제로 무엇을 보장하는지는 모호해진다. 소프트웨어 업계 전반에 걸쳐 흔한, 말은 번듯하지만 실질을 담보하지 않는 표현의 전형이다. 구매 결정을 내리는 실무자 입장에서 이런 수사는 SLA 문서나 실제 패치 이력만큼의 무게를 갖지 못한다.
이 사건이 주는 실무적 교훈은 분명하다. 많은 조직이 우분투를 선택하는 이유는 기술적 우월성보다 '기본값'이기 때문인 경우가 많다. 대다수 VPS 제공업체가 우분투를 기본 이미지로 제공하고, 오랜 기간 '드라마 없는 안정적인 LTS'라는 인식이 쌓여 있었다. 글쓴이 역시 그런 이유로 서버에 우분투를 써 왔다고 밝혔다. 그러나 이번처럼 치명적 취약점 대응이 늦어지는 순간, '기본값이라 안전하다'는 가정은 근거를 잃는다.
실무자가 지금 점검할 것
당장의 대응 측면에서, 글쓴이는 마이그레이션을 준비할 시간조차 없는 상태에서 소식을 접했기 때문에 우분투로 돌아가는 서버들을 모두 오프라인으로 내렸다고 한다. 극단적으로 보이지만, 원격에서 root를 내주는 취약점에 패치가 없는 상황이라면 노출된 서버를 네트워크에서 격리하는 것은 합리적인 방어선 중 하나다. 벤더 패치를 기다릴 수밖에 없을 때, 서비스 중단과 침해 위험 사이의 저울질은 운영자의 몫이 된다.
이번 사례는 단일 배포판에 대한 맹목적 신뢰를 재검토하라는 신호로 읽는 편이 생산적이다. 특정 배포판 하나에 모든 인프라를 묶어 두기보다, 취약점 공시 이후 실제 패치까지 걸린 시간 기록을 벤더 평가 지표로 삼고, 커널 핫픽스나 라이브 패치 체계, 대체 배포판으로의 이전 경로를 미리 확보해 두는 것이 현실적인 대비책이다. 다만 하나 유념할 점은, 이 글은 특정 시점에 한 운영자가 관측한 상태에 기반한 기록이라는 것이다. 패치 배포 상황은 시간에 따라 바뀌므로, 각자 환경에서는 벤더의 보안 추적 페이지와 설치된 커널 버전을 직접 확인해 현재 상태를 판단하는 것이 우선이다.