로컬 root로 가는 길이 한꺼번에 열린 주 — 공개 익스플로잇이 나오는 사이 Linux 커널 LPE가 CISA의 KEV 카탈로그에 올랐다
9월 18일, CISA는 실제로 악용 중인 Linux 커널 결함 3건(CVE-2025-39682, CVE-2026-53266, CVE-2025-39964)을 KEV 카탈로그에 추가했고, Red Hat은 공개 익스플로잇 코드가 존재함을 확인했다. 같은 날, 커널 LPE 4건(DirtyAH6, TUNderflow, PPPoEject, DiagSpill)의 동작하는 익스플로잇이 조율된 공개 절차 아래 발표되었다. 본고는 공유 호스트의 권한 상승이 경계 장비에 이어 초점으로 들어오는 이유를 살핀다.
이 글은 기계 번역입니다.
2026년 9월 18일, CISA는 실제 악용의 증거에 근거하여 Linux 커널 취약점 3건을 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했다. CVE-2025-39682(CVSS 9.8, 커널 TLS 수신 경로의 부적절한 조건 검사로 메모리 노출 또는 서비스 거부가 가능), CVE-2026-53266(CVSS 8.8, netfilter bridge의 ebtables SNAT ARP 재작성 경로에서 범위를 벗어난 쓰기가 로컬 권한 상승을 가능하게 함), CVE-2025-39964(CVSS 7.8, 같은 AF_ALG 소켓에 대한 동시 쓰기를 허용하는 경쟁 상태)이다. 연방 민간 기관에는 9월 21일까지 수정을 적용하도록 했다. 3건 가운데 어느 것에 대해서도 CISA는 캠페인 세부나 위협 행위자의 귀속을 공개하지 않았고, 이들이 하나의 공격 사슬을 이루는지도 분명하지 않다. 알려진 바는 이렇다. Red Hat은 9월 19일 기준으로 3건 모두의 권고를 갱신하여, 해당 CVE는 고위험이고 알려진 공개 익스플로잇이 존재하므로 높은 우선순위로 조치하라고 밝혔다(The Hacker News, CISA, Red Hat에 따름).
같은 날, 별개의 흐름이 커널 공격면을 넓혔다. 보안 연구자 Asim Manizada는 7월 중순에 로컬 권한 상승(LPE) 결함 4건을 Linux 커널 보안팀에 보고했다. DirtyAH6(CVE-2026-80844, IPsec AH6), TUNderflow(CVE-2026-81000, TUN/TAP 가상 네트워크 장치), PPPoEject(CVE-2026-68121, PPPoE), DiagSpill(CVE-2026-74469, SCTP의 sctp_diag)이다. 9월 18일, 배포판이 수정을 내보낼 수 있도록 둔 조율된 유예 뒤에, 그는 동작하는 익스플로잇이 담긴 기술 글을 공개했다. 4건 모두 현재의 커널에서 수정되어 있고, 실제 사용 보고는 없다. 그러나 4건 중 3건인 DirtyAH6, TUNderflow, PPPoEject는 비특권 사용자 네임스페이스가 켜져 있음을 전제로 하며, 이는 많은 배포판이 기본으로 켜 두는 기능이다. 나머지 DiagSpill은 SCTP 모듈을 쓸 수 있기만 하면 특별한 권한을 전혀 요구하지 않는다(The Hacker News 보도에 따름).
분석(사실과 분리): 두 이야기가 같은 날 도착한 것은, 강조가 “입구”에서 “그 다음”으로 옮겨졌다는 표시이다. 지난주 이 관측은 인터넷에 면한 경계 장비의 root 침해, 곧 Cisco ISE와 Secure Email Gateway를 다뤘다. 경계 장비는 설계상 도달할 수 있으므로 “노출되어 있는가”라는 질문은 스스로 답이 된다. 이번 주의 커널 결함은 모두 로컬이 먼저이다. 원격에서 일으키는 길은 좁고, 크래시가 중심이다. 공격자의 시각에서 중요한 것은, 공유 호스트 위의 초기 거점에서 root로 가는 경로의 목록이 늘어난다는 점이다. 컨테이너 호스트, CI 러너, 멀티테넌트 서버, AI 워크로드 환경은 모두 “여러 주체가 여기서 낮은 권한의 셸을 쥐고 있다”는 운영 가정을 가진 자산이다. 공개 익스플로잇이 하나 나올 때마다 옆으로 움직이는 비용은 낮아진다. 공개된 익스플로잇은 특정 커널 빌드에 맞추는 조정이 필요하고 기계를 크래시시킬 수 있다고 전해진다. 그것은 개발 비용에 대한 말이지, 악용 가능성에 대한 말이 아니다.
방어자에 대한 함의: (1) KEV에 오른 3건은 패치만이 아니라 CISA의 BOD 26-04가 정한 포렌식 트리아지 요건의 대상이다. 패치 전의 침해가 있었는지 로그를 살피는 것이 기준선이다. (2) 사용자 네임스페이스는 많은 워크로드에 필수이지만, 필요하지 않은 서버에서는 끄는 쪽을 평가할 가치가 있다. 새로운 LPE 4건 중 3건이 이 하나의 기본 설정을 전제로 한다는 사실은, 커널 공격면의 상당 부분이 하나의 구성 선택에 매달려 있음을 보여 준다. (3) 공유 호스트에서는 개별 CVE 패치와 함께 구조 자체를 점검한다. 테넌트 격리, 쓰고 버리는 CI 러너, AI 워크로드의 격리이다. “한 사람이 root를 얻으면 모두가 잃는다”는 설계의 속성이며, 패치 수준이 아니기 때문이다. (4) 커널 공간의 침해는 사용자 공간의 에이전트에게 보이지 않으므로, eBPF 기반의 런타임 탐지와 커널 무결성 모니터링으로 보완하는 것이 현실적인 선택이다. 여기의 사실은 CISA의 KEV 경보(https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), KEV 추가에 관한 The Hacker News의 보도(https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html)와 4건의 LPE 공개에 관한 보도(https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html), 그리고 Red Hat의 권고(https://access.redhat.com/security/cve/cve-2025-39682)에 근거한다. 분석은 보도와 분리해 둔다.