Akamai, Linode에서 Linux 취약점 조사·완화 중…침해 여부는 미확인

본문

Akamai는 2026년 10월 30일 Linode 상태 페이지에서 원격 코드 실행 취약점 CVE-2026-98432를 조사하며 완화 조치를 진행 중이라고 밝혔습니다. 현재 공지의 상태는 ‘Investigating’입니다. 실제 침해나 고객 피해가 확인됐다는 발표는 없으며, 침해가 없었다는 확인도 없습니다.

Canonical의 취약점 설명에 따르면 이 문제는 Linux 커널의 IPv4 TCP 연결 처리 중 메모리를 먼저 해제해 발생하는 use-after-free입니다. TCP 요청 소켓의 옵션 정보를 자식 소켓으로 넘긴 뒤에도 다른 CPU가 해당 정보를 읽을 수 있는데, 소켓이 먼저 해제되면 커널이 이미 풀린 메모리를 참조할 수 있습니다. 요청 소켓을 다른 소켓으로 옮기는 과정에서도 비슷한 문제가 생길 수 있다고 Canonical은 설명합니다. 해결 방식은 관련 메모리를 즉시 해제하는 대신 RCU 유예 기간이 지난 뒤 해제하는 것입니다.

이 설명은 MPTCP 취약점으로 규정하지 않습니다. IPv6는 첫 번째 문제의 영향을 받지 않으며, 요청 소켓 마이그레이션과 관련한 별도 IPv6 문제는 Canonical이 따로 다룬다고 밝혔습니다.

Akamai는 같은 날 18:10 UTC에 취약점을 인지하고 조사와 완화 조치를 진행한다고 공지했고, 21:18 UTC에는 관련 전문가들이 조사 중이며 진행 상황에 따라 완화 상태를 추가로 알리겠다고 업데이트했습니다. Linode 환경에서 영향을 받는 시스템과 적용한 조치, 고객별 영향 범위는 공지에 나오지 않습니다. Ubuntu의 배포판별 패키지 상태만으로 Linode가 사용하는 커널이나 노출 범위를 판단할 수도 없습니다.

자료: Linode Status, Canonical Ubuntu / 정리·해설: Trawling

참고 자료

• CVE-2026-98432 | Ubuntu — https://ubuntu.com/security/CVE-2026-98432