Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
작성자는 특정 CVE 취약점(CVE-2026-98432)에 대한 Ubuntu의 보안 대응 절차와 문서화가 불충분하다고 비판합니다. 우선순위 분류가 모호하고 관리자 안내가 커널 패치 설명 수준에 그치는 점을 지적하며, 이로 인해 다른 배포판(Debian 등)으로 이전할 것을 고려하게 되었다고 주장하는 내용입니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 GeekNews의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기Ubuntu 보안 페이지는 우선순위를 High로 분류함. 정기 일정 밖의 패치를 촉발하는 Critical이 아니며, 이유를 눌러도 “See ubuntu cvss score”라는 미완성 같은 문장만 나옴. 우선순위 안내 페이지는 오히려 이 분류와 모순되고, 완화책도 없으며, 설명도 난해한 NIST 내용을 그대로 복사해 Ubuntu 자체 안내가 전혀 없음. apt upgrade에서 “Get more security updates through Ubuntu Pro”를 처음 봤을 때부터 불안했는데, 이번 일로 다른 배포판으로 옮길 결심을 하게 됨. https://ubuntu.com/security/CVE-2026-98432#priority-reason
공정한 비판은 아니라고 봄. 근거를 찾기 어렵게 해놓기는 했지만, 보안 점수 페이지에 설명이 있음. 나도 커널 전문 용어를 이해하려고 Claude의 도움을 받았는데, 시스템을 멈출 수는 있어도 기밀 유출이나 데이터 훼손 가능성은 낮은 버그로 이해함.
공격에는 IP 옵션이 포함된 패킷이 필요하고, 공개 인터넷에서는 이런 옵션을 제거하거나 패킷을 버리는 경우가 흔함. 취약한 시스템뿐 아니라 패킷이 통과할 경로도 필요하며, SYN·재전송 SYN·Reset의 타이밍도 매우 촘촘하게 맞아야 함. 내부망의 집요한 공격자라면 가능하겠지만, 인터넷을 통한 공격은 가능성이 낮아 보임. https://ubuntu.com/security/CVE-2026-98432#impact-score
납득할 만한 대응이 없다는 사실이 결정타임. 고객에게 주는 Ubuntu 관련 조언을 권장하지 않음에서 즉시 이전으로 바꾸게 됨.
한때는 개발·배포 플랫폼으로 Ubuntu를 추천했으니 놀랄 고객도 있겠지만, 추천할 수 없게 된 지는 이미 꽤 됐고 이제는 더 이상 진지하게 신뢰하기 어려움.
볼수록 화가 남. Anthropic은 이 CVE로 취약한 시스템에서 원격 코드 실행이 가능하다고 하며, Caddy 같은 Go 서버를 실행하는 기본 Ubuntu 설치도 해당함. 나도 개인 웹사이트와 자체 호스팅 도구를 내려놓을 정도로 심각하게 받아들임.
그런데 Ubuntu가 관리자에게 보여주는 내용은 사실상 커널 패치 설명뿐임. ireq_opt 소유권 이전과 재전송 SYN 처리의 경합 때문에 ip_options_build()에서 해제 후 사용이 발생하고, 요청 소켓 이전에도 비슷한 문제가 있어 kfree_rcu()로 고친다는 내용임. IPv6는 첫 번째 문제에는 해당하지 않지만 CALIPSO 관련 이전 문제는 별도 패치 예정이라고 함. CVE 공개 2주 뒤에도 관리자 안내가 이런 수준인 게 어떻게 용납될 수 있나?
몇 년 전 Debian으로 이전한 뒤 돌아볼 일도 없었음. 고객 여러 곳에서 Ubuntu를 썼지만, 이제 Debian이나 비슷한 배포판으로 옮겨야 한다고 안내하게 됨. Canonical이 흔한 대기업처럼 변하기 전에는 Ubuntu를 정말 좋아했기에 안타까움.
CVE 우선순위 분류와 커널 출시 절차를 잘 모른 채 분노하는 반응이 많아 보임. 나도 전문가는 아니지만, 내가 겪은 Canonical의 보안 대응 이력은 훌륭했고 이번 절차를 의심할 확실한 근거도 찾지 못함.
인터넷의 모든 Ubuntu 시스템이 정말 위험했다면 대규모 침해 소식이 나왔을 텐데 아직 그런 보고가 없다는 건 손쉽게 악용할 취약점은 아니라는 뜻임. 긴급 커널 패치에도 위험이 있으므로, 긴급하지 않은 패치를 서두르다가 방대한 사용자 중 일부의 시스템을 멈추게 만드는 편이 더 나쁠 수 있음.
시간이 지날수록 실제 악용 가능성은 커짐. EPSS는 추정치일 뿐이고, NIST CVE 데이터베이스에는 공격 복잡도가 낮다고 나와 있으므로 그대로 믿기는 어려움.
비판하더라도 건설적인 비판이어야 함. 무작정 책임자를 불러내라는 식의 태도는 오픈소스에 어울리지 않음.
이 글에는 취약점의 정체와 심각도, 개인적으로 받은 영향, 서버의 노출 정도, 우회 대응에 관한 구체적인 내용이 없음. 분노를 최대한 자극하는 제목과 의미 없는 몇 줄뿐임.
그 내용이 글에 있지 않나? 게다가 Ubuntu는 보안 구독을 판매하면서 제대로 대응하지 못하고 있음. 자원봉사자의 오픈소스 활동이 아니라 유료 제품임.
Ubuntu는 무급 자원봉사자가 유지하는 작은 배포판이 아니라 유료 지원을 제공하는 기업임. 다른 배포판은 훨씬 빨리 고쳤는데, 보안 업데이트 비용을 받는 회사가 이렇게 소홀하다면 불안해하는 게 당연함.
약속을 믿었는데 제대로 지키지 못한다면 화를 내고 목소리를 높일 수밖에 없음. Ubuntu는 갓 생긴 자원봉사 단체가 아니라 세계에서 자금력이 가장 풍부한 Linux 조직 중 하나임.
Ubuntu의 중대한 실패이며, 필요한 건설적 조언은 글 제목 그대로임. TCP 스택을 통해 서버의 root 권한을 얻을 수 있어 서비스를 실행하기만 해도 접근 가능하고, 실제 공격도 존재함. Debian에는 패치된 커널이 있지만 Ubuntu에는 CVE 공개 2주 뒤에도 없음.
심각도는 10점 만점에 9.8임. 글쓴이는 부적절한 대응에 분노하고 있고, 서버는 AI 구독만 있는 누구에게나 노출돼 있으며, 대응책으로 Ubuntu를 떠나고 있음.
글은 아무것도 요구하지 않음. 타당한 지적을 하고 Ubuntu에서 이전하는 것뿐임.
링크를 누르기 전부터 무슨 내용인지 알겠더라. 취약한 시스템의 대응책을 찾으면서 Ubuntu 쪽의 공식 설명도 찾아봤지만 아직 발견하지 못함. 결국 HN에서 충분히 주목받아야 누군가 신경 쓰는 익숙한 단계를 거쳐야 하는 모양임.
Launchpad 같은 도구로 전 세계의 핵심 인프라가 된 것을 관리해야 한다면 이해하게 될 것임. 선택의 여지도 없음.
이 취약점으로 실제 침해당한 기업이 있나? Ubuntu의 설치 규모는 엄청난데 눈에 띄는 사고가 없다는 건 9.8이라는 점수가 현실을 잘 반영하지 못할 가능성을 시사함. StealMyBitcoinV2를 해볼 때일지도 모르겠음.
페이지 첫머리에 Ubuntu 우선순위는 High, 심각도는 9.8·Critical, 공개일은 2026년 10월 15일, 최종 수정일은 10월 30일이라고 나옴. 이걸 보면 Ubuntu가 대체 뭘 하는 건지 묻게 됨.
이 페이지를 잘 이해하지 못하겠음. Ubuntu 커널 바이너리는 linux-image- 패키지에 들어가는 것 아닌가?
내 linux-image-generic은 최신 커널 이미지를 의존성으로 설치한다고 설명하며, linux-image-6.8.0-147-generic, linux-modules-extra-6.8.0-147-generic 등에 의존함. 그런데 왜 영향받는 패키지에는 linux-image나 linux-modules-*가 없나?
소스·바이너리 패키지 구분 때문인가 했지만, linux-image-7.0.0-38-generic의 소스인 linux-signed-hwe-7.0도 목록에 없음. 어떻게 이해해야 하나?
Rocky는 커뮤니티가 직접 빌드한 패키지를 쓰나, RHEL 패키지를 쓰나? Red Hat도 아직 패치를 내지 않은 것 아닌가?
Alma가 아니라 Rocky를 고르는 이유가 있나?
참고로 14.04 LTS trusty는 취약하지 않음.
결국 Rocky Linux로 이전함. 이번 일이 마지막 계기가 됐고, 전체 이전에는 약 4시간이 걸림.
원래 Red Hat 쪽에 더 익숙해서 Ubuntu가 편하게 느껴진 적은 별로 없음. 2년마다 단계적으로 업그레이드하기보다는 7~8년에 한 번 크게 업그레이드하며 안정적인 개발 환경을 유지하고 싶음. dnf도 복잡하게 얽힌 apt-get과 unattended-upgrades보다 단순하고 안정적이라고 느낌.
틀렸다는 건 아니지만 dnf가 더 안정적이라는 평가는 처음 접함. Ubuntu가 뭔가 불안정하게 바꿨을 수는 있어도, Debian의 apt 도구는 안정적이기로 유명함.
Debian 계열을 약 30년 쓰면서 apt-get이나 apt 버그로 피해 본 적이 한 번도 없고, 의심스러운 외부 저장소를 쓰지 않는 한 의존성 문제도 겪지 않음. 순수 Debian이나 Ubuntu 서버에서는 apt update && apt upgrade가 항상 제대로 작동함.
누구도 문제를 겪지 않는다는 뜻은 아니지만, 직접 겪거나 그런 사람과 대화한 적도 없음.
AWS는 Amazon Linux 2 패치를 배포하는데 Ubuntu는 아직도 기다리고 있다니 씁쓸함.
답답한 건 이해하지만 iptables 규칙으로 완화할 수 있지 않나? 우선 그것부터 적용하면 어떨까?
이 정도 심각도라면 OS 패치를 몇 주씩 기다리며 임시 완화책을 유지하게 해서는 안 됨. 나도 적용했지만, 이제 그걸 걷어낼 패치를 기다리는 중임.
그러면 답답함을 자극적으로 부각하기 어려워지기 때문임.
nftables로 IP 옵션이 있는 TCP 패킷을 차단하는 명령은 다음과 같음.
nft add table ip cve_2026_98432
nft add chain ip cve_2026_98432 pre '{ type filter hook prerouting priority -300; }'
nft add rule ip cve_2026_98432 pre meta l4proto tcp ip hdrlength gt 5 counter drop