CISA, 리눅스 커널 취약점 'CVE-2026-46300' 악용 확인 … 다른 취약점과 엮으면 루트 권한까지 탈취
미국 사이버보안·인프라보안국(CISA)이 리눅스 커널(Linux Kernel)의 보안 취약점 CVE-2026-46300을 '실제 악용이 확인된 취약점(KEV, Known Exploited Vulnerabilities)' 목록에 추가했다. CISA KEV 목록을 보면 등재일은 2026년 10월 28일이다. CISA는 미국 연방기관에 사흘 뒤인 10월 31일까지 조치를 마치라고 요구했다. KEV는 이론상 위험한 취약점을 모은 목록이 아니다. 실제 공격에 쓰인 사실이 확인된 취약점만 올라간다.
CISA가 붙인 공식 명칭은 'Linux Kernel Missing Initialization of a Variable Vulnerability', 곧 변수 초기화 누락 취약점이다. CISA 설명에 따르면 이 결함은 커널이 소켓 버퍼를 병합(coalescing)하는 과정에서 생긴다. 이때 데이터 조각에 붙어 있어야 할 '공유 조각(shared fragment)' 표시가 보존되지 않는다. 표시가 사라지면 커널의 ESP 입력 처리 과정이 다른 곳과 공유되는 데이터 조각을 제자리에서(in place) 복호화해 버린다. 그 결과 페이지 캐시에 올라 있는 데이터가 의도치 않게 바뀔 수 있다.
ESP는 IPsec 통신에서 패킷을 암호화하는 프로토콜이다. 페이지 캐시는 디스크의 파일 내용을 메모리에 올려 두는 영역이다. 정리하면 암호화된 네트워크 패킷을 푸는 작업이 건드려서는 안 될 메모리까지 덮어쓰고, 그 탓에 시스템이 읽는 파일 데이터가 오염될 수 있는 구조다.
CISA는 이 취약점이 단독으로만 쓰이지 않는다고 밝혔다. CVE-2026-109618, CVE-2026-109619와 연쇄(chain)로 엮으면 PHP 웹셸을 심고 루트(root) 권한으로 명령을 실행할 수 있다는 것이다. 웹셸은 웹 서버에 몰래 설치해 원격으로 명령을 내리는 악성 스크립트이고, 루트는 리눅스 시스템의 최고 관리자 권한이다. CISA가 여러 취약점을 조합해 서버를 장악하는 시나리오까지 설명문에 직접 적었다는 점에서 위험도가 가볍지 않다.
요구한 조치의 수준도 높다. CISA는 공급사 안내에 따라 완화 조치를 적용하라고 했다. 이때 위험도에 따라 보안 업데이트 우선순위를 정하도록 한 지침 'BOD 26-04(Prioritizing Security Updates Based on Risk)'와 '포렌식 분류 요건(Forensics Triage Requirements)'을 함께 지키라고 했다. 클라우드 서비스에는 BOD 26-04의 해당 지침을 따르고, 완화 조치가 없으면 제품 사용을 중단하라고 했다. 자산마다 인터넷 노출 여부를 평가하고 BOD 26-04의 패치 기준을 지킬 책임은 각 이해관계자에게 있다고 못 박았다. 패치 적용과 함께 포렌식 요건을 거론한 점도 눈에 띈다.
이행 기한도 촉박하다. 등재부터 기한까지 사흘밖에 주지 않았고, 그 기한도 이미 지났다. CISA의 요구는 미국 연방기관에만 적용되지만, KEV 목록은 실제 공격이 벌어지고 있다는 신호인 만큼 민간 기업과 해외 기관도 패치 우선순위를 정할 때 참고하는 경우가 많다.
리눅스 커널은 서버와 클라우드 인프라, 각종 네트워크 장비의 운영체제 기반으로 널리 쓰인다. 국내 기관과 기업도 사용 중인 리눅스 배포판과 장비 공급사의 보안 공지를 확인해 최신 버전으로 업데이트하는 것이 좋다. 공격 시나리오에 PHP 웹셸이 언급된 만큼, PHP 기반 웹 서비스를 운영하는 리눅스 서버는 우선 점검 대상에 올려야 한다.
