Ubuntu, CVSS 9.8 커널 취약점 3주째 패치 없이 방치
Ubuntu still has not released patch for Linux 0day RCE in almost 3 weeks
Ubuntu가 CVSS 9.8로 평가된 치명적 취약점 CVE-2026-98432에 대해 22.04, 24.04, 26.04 LTS 커널 패치를 아직 내놓지 않았다. 인터넷에 노출된 자체 호스팅 서버와 멀티테넌트 환경은 격리 경계가 그대로 뚫릴 수 있는 상태다. Ubuntu는 수정 일정조차 밝히지 않아 관리자들은 기본 커널을 유지할지, 외부 완화책을 적용할지, 패치된 다른 커널로 옮길지 직접 판단해야 한다.
Ubuntu는 수정 일정을 발표하지 않았다. 그동안 영향을 받는 관리자들은 기본 커널을 유지할지, 가능하다면 외부 완화책을 적용할지, 아니면 이미 패치가 적용된 릴리스나 커널로 워크로드를 옮길지 스스로 결정해야 한다.
HN 토론
81- jimrandomh
예전에는 제 잡다한 리눅스 박스들에 기본적으로 Ubuntu를 썼는데, 업그레이드를 하려다가 Ubuntu에 패치가 없다는 걸 발견하고 Ubuntu에 대한 신뢰가 흔들렸습니다. 앞으로 새 서버에는 아마 Ubuntu를 선택하지 않을 것 같습니다.
- c0l0
Ubuntu가 이런 결정을 내렸다는 점을 다시 한 번 지적하는 건 그다지 흥미롭지 않습니다. 저는 그들이 왜 그렇게 하지 않았는지 (공식적인 이유가 있다면 - 없다면 비공식적/추측성 이유라도) 알고 싶습니다.
패치하는 게 그렇게 복잡해 보이지 않고, 요즘 커널 업그레이드는 흔한 일입니다. 그런데 무엇 때문에 수정을 이렇게 오래 미루는 걸까요?
- harry8
질문:
제가 본 모든 소비자용 라우터-무선 AP는 리눅스를 실행합니다.
저는 그들이 사용하는 커널에 대한 보안 업그레이드를 본 적이 없습니다. 단 하나도. 한 번도요.
이게 걱정할 만한 일인가요? 직접 소비자용 TP-Link, Netgear, Asus, 뭐든 라우터를 사용하지 않더라도요.
업데이트:
제가 말했어야 했던 맥락은 LLM이 스크립트 키즈에게 국가 수준의 도구와 전문 지식을 제공하고 있다고 생각한다는 것입니다. 이 알려진 버그는 항상 다음에 나올 스무 개보다 덜 흥미롭습니다.
- majorchord
그들은 어떤 완화 가능성이나 지침도 제공하지 않습니다... RHEL은 여기에 한 가지 방법이 있습니다: https://access.redhat.com/security/vulnerabilities/RHSB-2026...
하지만 그들은 또한 완화 조치가 "이 취약점에 대한 노출을 줄이지만 완전히 방지할 수는 없다"고 주장하면서, 그것이 무엇을 의미하는지 또는 어떻게 가능한지에 대해 자세히 설명하지 않습니다... 저는 다른 누구도 이런 주장을 하는 것을 본 적이 없습니다.
- pelagicAustral
저는 실제 공격 사례를 본 적이 없습니다. 최소 20개의 다른 서버가 (당연히) 패치되지 않은 상태이지만 위험은 과도하게 부풀려져 있습니다. 여러 가지 완화 옵션이 있습니다.