CISA, 리눅스 커널 취약점 3건 실제 악용 중 경고

한 줄 요약

미국 사이버보안 인프라보안국(CISA)이 리눅스 커널에서 발견된 취약점 세 건(CVE-2025-39964, CVE-2026-53266, CVE-2025-39682)이 실제 공격에 악용되고 있다고 공식 경고했습니다. 세 취약점은 권한 상승(일반 사용자가 관리자 권한을 얻는 공격)이나 컨테이너 탈출에 이용될 수 있으며, 이 중 하나는 무려 14년 전부터 커널에 숨어 있던 결함입니다. 일부 취약점에 대한 공개 익스플로잇(취약점을 실제로 공격하는 코드)이 이미 존재하고 Red Hat도 이를 공식 확인했습니다. CISA는 연방 기관에 당일까지 보안 업데이트 적용을 명령했고, 이미 침해가 발생했는지 확인하는 포렌식 점검도 함께 요구했습니다. 리눅스 서버·클라우드·컨테이너 환경을 운영하는 기업은 즉시 패치 적용 여부를 확인하고 침해 흔적을 점검해야 합니다.

사건

CISA가 리눅스 커널 취약점 3건(CVE-2025-39964·CVE-2026-53266·CVE-2025-39682)을 알려진 악용 취약점(KEV) 목록에 등재하고 실제 공격 악용 중임을 공식 경고했다. 세 취약점의 심각도는 중간~심각(Critical) 등급이다.

영향

CVE-2025-39964는 권한 상승 및 컨테이너 탈출에 악용됨이 시연되었으며, 나머지 두 취약점도 권한 상승 경로로 이어질 수 있다. 공개 익스플로잇 코드가 존재해 추가 피해 확산 위험이 높다.

원인

CVE-2025-39964는 암호화 소켓 인터페이스(AF_ALG)의 경쟁 조건(race condition) 결함으로 14년간 잠재해 있었고, CVE-2026-53266은 ebtables SNAT의 경계 초과 쓰기(out-of-bounds write), CVE-2025-39682는 kTLS 수신 경로의 제로 길이 레코드 처리 로직 오류다.

대응

CISA는 연방 기관에 당일 기한으로 보안 업데이트 및 완화 조치 적용을 명령했으며, 영향받는 모든 자산에 포렌식 트리아지(사전 침해 흔적 조사)를 요구했다. Red Hat 등 주요 배포판 벤더도 공식 보안 공지를 발표했다.

실무 포인트

리눅스 커널을 사용하는 서버·클라우드·컨테이너 환경은 세 CVE에 대한 패치 적용 여부를 즉시 확인해야 한다. 공개 익스플로잇이 존재하는 만큼 패치 전후 침해 지표(IoC) 점검도 병행해야 한다.

본문

미국 사이버보안 인프라보안국(CISA)은 해커들이 리눅스 커널 취약점 세 건을 악용하고 있다고 경고했습니다. 이 중 하나는 심각(Critical) 등급으로 평가됩니다.

세 가지 보안 문제는 지난주 각각 목록에 추가되었으며, 심각도는 중간(Medium)에서 심각(Critical)까지 다양합니다. 이 중 CVE-2025-39964로 추적되는 취약점은 리눅스 커널에 14년간 존재해 왔습니다.

CISA는 세 취약점 모두에 연방 기관 대상 최우선 대응 등급을 부여하고, 오늘 자정까지 사용 가능한 보안 업데이트 및 완화 조치를 적용하도록 명령했습니다.

세 가지 취약점의 내용은 다음과 같습니다:

CVE-2025-39964: 커널의 AF_ALG 암호화 소켓 인터페이스에서 발생하는 경쟁 조건(race condition)으로, 동시 쓰기 작업이 소켓별 상태를 손상시켜 시스템 충돌을 일으키거나 암호화 결과를 변조할 수 있습니다.
CVE-2026-53266: 리눅스 커널 ebtables SNAT 구현의 경계 초과 쓰기(out-of-bounds write) 취약점으로, ARP 주소 재작성 과정에서 영향받는 패킷 범위를 쓰기 가능 상태로 전환하지 않은 채 파일 백업 공유 메모리를 수정할 수 있습니다.
CVE-2025-39682: 리눅스 커널 TLS 수신 경로의 로직 결함으로, kTLS 사용 시 나중에 처리하기 위해 대기 중인 길이 0의 레코드를 잘못 처리해 서로 다른 TLS 레코드 유형이 함께 처리될 수 있습니다.

CISA는 [1, 2] 이 취약점들이 실제 공격에서 악용되었다고 밝혔으나, 구체적인 사건 내용이나 위협 행위자의 성격은 공개하지 않았습니다.

공격적 보안 회사 STAR Labs는 CVE-2025-39964를 발견했으며, 연구진이 AI 시스템의 도움 없이 이 문제를 찾아냈다고 밝혔습니다. 이들은 구글의 kernelCTF(커널 대상 보안 경진대회) 환경에서 권한 상승 및 컨테이너 탈출을 달성하는 방식으로 이 취약점을 시연했습니다.

CVE-2025-39682에 대해서는 공개 익스플로잇이 존재하며, Red Hat도 자사 보안 공지를 통해 이를 확인했습니다. Red Hat은 CVE-2026-53266에 대해서도 알려진 익스플로잇이 존재한다고 확인했습니다.

연구자 Kimmo Suominen은 GitHub에 CVE-2026-53266에 대한 기술 분석 및 패치 현황 추적 자료를 공개하고, 파일 백업 메모리 수정을 통한 잠재적 권한 상승 경로를 설명했습니다.

다만 이 연구자는 제안된 공격 체인이 Dirty Pipe 사례와의 유추를 통해 추론된 것이며, 공개 익스플로잇 코드로 실제 시연된 것은 아니라고 밝혔습니다.

CISA는 세 취약점 모두에 "포렌식 트리아지(forensic triage) 필요" 표시를 했습니다. 이는 연방 기관이 영향받는 모든 자산에 대해 이미 악용이 발생했는지 여부를 조사해야 한다는 의미입니다.

현재 세 취약점 중 랜섬웨어 그룹에 의한 악용이 확인된 것은 없습니다.

AI 기반 공격에 대비한 보안 청사진 수립

Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 멈춰야 할 일은 무엇인지, 그리고 머신 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.

자리를 예약하세요