리눅스 커널 TLS 취약점 CVE-2025-39682, 실제 공격 악용 확인… CISA 'KEV' 목록 등재
미국 사이버보안·인프라보안국(CISA)의 '악용 확인 취약점(KEV)' 목록에 따르면, 리눅스 커널(Linux Kernel)의 보안 결함인 CVE-2025-39682가 2026년 9월 18일 이 목록에 새로 올랐다. KEV는 이론적 위험에 머무는 취약점이 아니라 실제 공격에 사용된 사실이 확인된 것만 추려 싣는 목록으로, 등재 자체가 '이미 공격에 쓰이고 있다'는 판정에 가깝다. CISA는 미국 연방기관에 2026년 9월 21일까지 조치를 마치도록 이행 기한을 정했다.
CISA가 이 취약점에 붙인 공식 명칭은 '리눅스 커널의 비정상·예외 조건에 대한 부적절한 검사 취약점(Linux Kernel Improper Check for Unusual or Exceptional Conditions Vulnerability)'이다. 결함이 자리한 곳은 커널의 TLS 수신 경로다.
CISA 설명을 보면, 수신 목록(rx_list)에서 꺼내온 길이가 0인 레코드가 recvmsg() 단계에서 의도된 레코드 유형 처리 과정을 우회할 수 있다. 그 결과 뒤이어 들어오는 TLS 레코드들이 잘못된 제로카피(zero-copy) 및 큐잉 전제 아래 처리될 가능성이 생긴다. 쉽게 말해 암호화 통신 구간에서 커널이 데이터의 성격을 잘못 판단한 채 다음 데이터를 처리하게 되는 구조다. 커널의 TLS 처리 기능은 웹 서버와 프록시, 각종 네트워크 서비스의 암호화 통신 성능을 끌어올리기 위해 쓰이는 영역이어서, 노출 면이 넓은 시스템일수록 점검 우선순위가 높다.
CISA는 조치 방법으로 공급사 지침에 따른 완화 조치 적용을 제시하면서, 위험도 기반 보안 업데이트 우선순위를 규정한 자체 지침 'BOD 26-04'와 '포렌식 트리아지 요구사항(Forensics Triage Requirements)' 준수를 함께 요구했다. 클라우드 서비스의 경우에도 BOD 26-04의 해당 지침을 따르되, 적용 가능한 완화 조치가 없다면 해당 제품의 사용을 중단하라고 명시했다. 자산별 인터넷 노출 여부를 평가하고 패치 지침 준수를 확인할 책임은 이용 주체에 있다는 점도 덧붙였다.
특히 CISA는 영향을 받는 제품이 기술지원 종료(EoL) 또는 서비스 종료(EoS) 상태일 수 있다며, 이 경우 사용을 중단하거나 지원되는 버전으로 이전할 것을 권고했다. 보안 패치가 더 이상 공급되지 않는 구형 버전을 그대로 운영 중이라면 패치 대신 교체를 검토해야 한다는 의미다.
다만 이 취약점이 구체적으로 어떤 공격 활동에 사용됐는지, 공격 주체가 누구인지, 피해 규모가 어느 정도인지는 CISA 자료에서 확인되지 않았다. 국내 기관·기업의 피해 사례가 있는지 여부도 확인되지 않았다.
리눅스 커널은 서버, 클라우드 인프라, 컨테이너 환경은 물론 각종 네트워크·보안 장비의 기반으로 폭넓게 쓰인다. 미 연방기관 대상 기한은 국내 기관에 직접 적용되지 않지만, KEV 등재는 공격이 이미 진행 중이라는 신호인 만큼 같은 제품을 운영 중인 국내 기관과 기업도 배포판 공급사의 보안 공지를 확인해 최신 버전으로 올리는 것이 안전하다.