CISA, 실제 악용 중인 리눅스 커널 취약점 3종 긴급 경고

한 줄 요약

미국 사이버보안·인프라보안국(CISA)이 리눅스 커널에서 발견된 취약점 3종(CVE-2025-39682, CVE-2026-53266, CVE-2025-39964)이 실제 사이버공격에 사용되고 있음을 확인하고 긴급 대응을 요구했습니다. 이 취약점들은 각각 TLS 통신 처리 오류, 방화벽 기능의 메모리 손상, 암호화 처리 중 경쟁 조건(두 작업이 동시에 충돌하는 문제)과 관련되어 있으며, 원격 공격·권한 상승·서비스 장애 등 다양한 피해로 이어질 수 있습니다. 로컬 권한이 필요한 취약점도 공격자가 서버에 먼저 침투한 뒤 권한을 높이는 데 활용될 수 있어 위험도를 낮게 봐서는 안 됩니다. 리눅스 서버를 운영하는 기업은 커널 버전을 즉시 확인하고 각 배포판의 보안 업데이트를 적용해야 합니다. CVSS 점수만으로 우선순위를 정하기보다 CISA KEV 등재 여부와 외부 노출 여부를 함께 고려한 패치 전략이 필요합니다.

사건

CISA가 리눅스 커널 취약점 3종(CVE-2025-39682, CVE-2026-53266, CVE-2025-39964)을 KEV 카탈로그에 등재하며 실제 악용 정황을 공식 확인했다. 공격 주체·피해 기관·익스플로잇 세부 정보는 아직 공개되지 않았다.

영향

CVE-2025-39682는 CVSS 9.8로 네트워크를 통한 원격 공격이 가능하며 메모리 손상·정보노출·서비스거부로 이어질 수 있다. CVE-2026-53266은 메모리 손상 및 로컬 권한상승, CVE-2025-39964는 서비스거부 및 암호연산 결과 손상을 유발할 수 있다. 가상화·컨테이너 환경에서 호스트 권한 탈취 공격체인에 활용될 가능성도 있다.

원인

각각 TLS 수신 처리 중 예외 상황 미처리, ebtables SNAT에서 메모리 쓰기 가능 여부 미검증, AF_ALG 소켓의 동시 쓰기 작업 간 경쟁조건이 원인이다.

대응

레드햇 등 주요 배포판에서 보안 업데이트를 제공 중이다. 패치가 어려운 환경에서는 ebtables SNAT 규칙 제거 또는 AF_ALG 모듈 로딩 차단이 완화책으로 제시됐다.

실무 포인트

CVSS 점수 순서보다 CISA KEV 등재 여부·외부 노출 여부·공개 익스플로잇 존재 여부·권한상승 가능성·컨테이너 환경 여부를 종합해 패치 우선순위를 정해야 한다. 로컬 권한이 필요한 취약점도 초기 침투 이후 권한상승 단계에 사용될 수 있으므로 위험도를 과소평가하지 말아야 한다.

본문

미국 사이버보안·인프라보안국(CISA)이 리눅스 커널에서 발견된 취약점 3종이 실제 사이버공격에 악용되고 있다며 긴급 대응을 요구했다.

CISA는 최근 CVE-2025-39682, CVE-2026-53266, CVE-2025-39964를 '알려진 악용 취약점(Known Exploited Vulnerabilities, KEV)' 카탈로그에 추가했다. KEV 등재는 단순히 공격 가능성이 있는 취약점이 아니라 실제 환경에서 악용됐다는 증거가 확인됐다는 의미다.

TLS 처리 오류 CVE-2025-39682…원격 공격 가능성 주목

CVE-2025-39682는 리눅스 커널의 TLS(전송 계층 보안) 수신 처리 과정에서 발생하는 취약점이다.

TLS 레코드를 처리하는 recvmsg() 과정에서 길이가 0인 레코드와 수신 대기 목록(rx_list)을 처리하는 예외 상황이 적절하게 제어되지 않는 문제가 원인이다. 특히 TLS 1.3 환경에서는 복호화 이후 레코드 유형이 확인되는 특성 때문에 특정 조건에서 내부 처리 상태가 꼬일 수 있다.

리눅스 CVE 자료에서는 이 취약점에 대해 CVSS 9.8을 부여하고 있으며 네트워크를 통해 공격할 수 있는 고위험 취약점으로 평가하고 있다. 영향을 받는 시스템에서는 메모리 손상이나 정보노출, 서비스거부(DoS) 등으로 이어질 가능성이 있다.

CVE-2026-53266, ebtables SNAT 처리 중 메모리 손상

두 번째 취약점 CVE-2026-53266은 리눅스 커널 네트필터(Netfilter)의 ebtables SNAT(송신 주소 변환) 기능에서 발생한다.

ARP 패킷의 송신자 하드웨어 주소를 변경하는 과정에서 커널이 해당 메모리 영역이 실제로 쓰기 가능한지 확인하지 않고 데이터를 기록하면서 파일이나 공유 메모리를 손상시킬 수 있다.

레드햇은 공격자가 특정 ebtables 규칙이 설정된 환경에서 메모리 손상과 서비스거부를 유발하거나, 조건에 따라 로컬 권한상승으로 이어질 가능성이 있다고 설명했다. 가상화와 컨테이너 환경처럼 브리지 네트워크와 ebtables를 사용하는 시스템도 영향 여부를 확인할 필요가 있다.

CVE.org 기준 CVSS 점수는 8.8이며, 레드햇은 자사 제품 환경을 기준으로 7.5를 부여했다. 오픈소스 취약점은 배포판과 커널 구성에 따라 실제 위험도가 달라질 수 있기 때문에 단일 CVSS 점수만으로 위험도를 판단해서는 안 된다.

AF_ALG 경쟁조건 CVE-2025-39964…암호연산 결과까지 영향

CVE-2025-39964는 리눅스 커널의 암호화 사용자 API인 AF_ALG 소켓에서 발생하는 경쟁조건(Race Condition, 두 작업이 동시에 실행되며 충돌하는 문제) 취약점이다.

동일한 AF_ALG 소켓에 여러 쓰기 작업이 동시에 수행될 경우 데이터가 예측할 수 없게 섞이거나 내부 소켓 상태가 일관성을 잃을 수 있다.

레드햇은 로컬 사용자가 이를 악용해 시스템을 충돌시키거나 암호연산 결과를 손상시켜 서비스거부 또는 데이터 무결성 문제를 유발할 수 있다고 설명했다. 패치에서는 하나의 쓰기 작업만 수행되도록 배타적 제어 기능이 추가됐다.

이 취약점은 CVSS 평가기관에 따라 점수가 다르다. CVE.org와 오라클은 7.8로 평가한 반면 레드햇과 NVD는 5.5로 보고 있다. 이는 공격에 로컬 접근 권한이 필요한지, 실제 기밀성·무결성 영향이 어느 수준인지에 대한 평가 차이 때문이다.

세 취약점 모두 실제 악용…공격 방식은 아직 공개 안돼

이번 사안에서 가장 주목해야 할 부분은 CVSS 점수가 아니라 CISA가 세 취약점 모두에 대해 실제 공격 악용 정황을 확인했다는 점이다.

현재까지 공격 주체나 피해기관, 최초 침투경로, 공격에 사용된 익스플로잇 코드 등 세부 정보는 공개되지 않았다. 세 취약점이 하나의 공격체인에서 함께 사용됐는지도 확인되지 않았다.

특히 CVE-2026-53266과 CVE-2025-39964처럼 로컬 권한이 필요한 취약점도 위험성이 낮다고 단정하기 어렵다.

공격자가 웹 애플리케이션이나 VPN, 계정탈취 등을 통해 서버에 먼저 침투한 이후 커널 취약점을 권한상승 단계에 활용할 수 있기 때문이다. 컨테이너와 클라우드 환경에서는 제한된 사용자 권한을 확보한 이후 호스트 권한을 확대하는 공격체인의 일부로 활용될 가능성도 고려해야 한다.

국내 리눅스 운영기업, KEV 중심 패치 우선순위 재점검해야

국내 금융·통신·클라우드·인터넷 서비스 기업은 리눅스 서버 운영 현황과 커널 버전을 우선 파악하고 각 배포판에서 제공하는 보안 업데이트 적용 여부를 점검해야 한다.

특히 대응 과정에서는 단순히 CVSS 점수가 높은 취약점부터 패치하는 방식보다 ▲CISA KEV 등재 여부 ▲외부 노출 여부 ▲공개 익스플로잇 존재 여부 ▲권한상승 가능성 ▲컨테이너·가상화 환경 사용 여부 등을 함께 고려할 필요가 있다.

레드햇도 CVE-2026-53266에 대해 영향을 받는 RHEL 버전에 보안 업데이트를 제공하고 있으며, 패치가 어려운 환경에서는 ARP 트래픽에 적용되는 ebtables SNAT 규칙을 제거하거나 관련 기능을 제한하는 방안을 제시하고 있다. CVE-2025-39964 역시 AF_ALG 모듈을 사용하지 않는 환경에서는 해당 모듈 로딩을 차단하는 방식이 완화책으로 제시됐다.