비공개 버그 리포트가 공개되다
Trend Micro의 ZDI(Zero Day Initiative)는 10월 22일, 패치되지 않은 Linux 커널 취약점 캐시를 비공개 보안 메일링 리스트가 아닌 공개 Linux Kernel Mailing List에 실수로 게시하면서 '블랙 옥토버'의 불을 지폈습니다. Linux 안정 버전 관리자인 Greg Kroah-Hartman은 해당 리스트에서 ZDI에 공개적으로 이의를 제기하며 제로데이 익스플로잇의 조기 공개에 대한 해명을 요구했습니다.
결정적으로, 이번 유출은 CVSS 9.0 등급의 심각한 SMB(Server Message Block) 취약점 두 가지를 노출했으며, 둘 다 원격 코드 실행이 가능했습니다. 첫 번째 결함은 SMB Direct의 정수 언더플로우(ZDI-CAN-33549)로, 버퍼 크기 값을 조작하여 버퍼 오버플로우를 허용했습니다. 두 번째는 ksmbd의 경쟁 상태(ZDI-CAN-33774)로, 인증되지 않은 원격 코드 실행을 가능하게 했습니다.
이 리포트들은 수정 사항이 널리 배포되기 전에 공개되어 수백만 대의 시스템을 노출시켰습니다. 이는 의도적인 게시나 활발한 공격의 증거가 아닌 우발적인 공개였으며, 조정된 취약점 공개에 대한 압박이 커지고 있음을 강조했습니다. 파일 공유를 위해 외부 네트워크 데이터를 처리하는 SMB의 설계는 이러한 버그를 특히 위험하게 만들었으며, 2017년 WannaCry 사태를 연상케 했습니다.
SMB 버그가 모두의 문제가 될 수 있는 이유
SMB(Server Message Block)는 파일과 폴더를 공유할 수 있게 해주는 네트워크 프로토콜입니다. 그 구조상 본질적으로 위험한데, SMB와 같이 들어오는 네트워크 데이터를 처리하는 서비스는 종종 로그인 전에 실행되므로 인증되지 않은 공격자가 접근할 수 있습니다. 인터넷에 직접 노출되는 이러한 구조는 결함의 피해 범위를 증폭시킵니다.
우리는 2017년 Windows SMB 취약점을 악용한 랜섬웨어 공격인 WannaCry를 통해 이러한 위험을 직접 목격했습니다. 현재의 Linux 버그는 다르지만, WannaCry는 SMB 결함이 얼마나 빠르게 전체 네트워크를 위태롭게 할 수 있는지 보여주는 극명한 사례입니다. CVSS 심각도 척도에서 9.0 등급을 받은 Linux 커널의 SMB 취약점들은 이와 유사한 원격 코드 실행 위험을 내포하고 있습니다.
심각한 SMB 결함 외에도 보고된 다른 문제들은 다음과 같습니다:
- 네트워킹 스택의 로컬 권한 상승 (skb_zerocopy)
- VMware 그래픽 드라이버의 로컬 권한 상승 (vmwgfx)
- NVMe 타겟 코드의 정보 유출 (nvmet)
이러한 추가 취약점에 대한 노출 정도는 시스템 구성 및 배포 방식에 따라 크게 다릅니다. SMB RCE만큼 즉각적으로 치명적이지는 않지만, 이러한 문제들은 '블랙 옥토버' 기간 동안 드러난 시스템적 취약성을 강조합니다.
블랙 옥토버는 공개의 연쇄 충돌이었습니다
블랙 옥토버는 단순한 Linux 유출이 아니라 쏟아지는 정보의 홍수였습니다. 패치되지 않은 커널 취약점의 우발적 노출은 중요한 보안 공개의 폭풍 속에서 발생하여 전 세계 조직들을 한계 상황으로 몰아넣었습니다. 특히 두 가지 심각한 PHP 결함(CVE-2026-109618, CVE-2026-109619)으로 인해 프랑스, 네덜란드, 핀란드 정부는 긴급 패치를 위해 공공 웹사이트를 오프라인으로 전환해야 했습니다.
이는 조직적인 공격이 아니라 여러 방면에서 동시에 가해진 압박이었습니다. 추가적인 보고들도 잇따랐습니다:
- eMudhra의 인증 기관 침해로 인한 신속한 브라우저 수준의 폐기 필요성.
- 2014년부터 존재했던 CVSS 10 등급의 GitLab 버그.
- Node.js의 원격 코드 실행 수정.
- 미국 은행 계좌에 나타난 승인되지 않은 AI 에이전트 보고.
이번 공개 발표의 물결은 강렬했지만, 확인된 공격의 물결과 동일한 것은 아닙니다. Phoronix가 자세히 다룬 Linux 커널 버그를 포함한 이러한 문제 중 다수는 이미 몇 주 또는 몇 달 전에 발견되었습니다. 조직들은 단지 공개적으로 알려진 이러한 버그를 서둘러 패치하고 있었을 뿐입니다. 여러 Linux 커널 취약점이 실수로 공개 커널 메일링 리스트에 게시됨 - Phoronix 이 "Black October"는 냉혹한 예고편 역할을 했습니다. 병목 현상이 버그 발견에서 충분히 빠른 수정으로 옮겨갔다는 것입니다.
이 글이 마음에 드셨나요? 매일 아침 이런 글을 메일로 받아보세요.
하루 한 통 · 두 번의 클릭으로 구독 취소 · 제3자 추적 없음
AI는 발견 속도를 높이고, 패치가 속도를 결정합니다
AI는 레거시 결함의 발견을 가속화했지만, 사람이 수행하는 패치 작업은 여전히 느립니다. Anthropic의 Mythos와 같은 AI 도구가 SharePoint와 같은 제품에서 수백 개의 치명적인 버그를 찾아내어 인간의 처리 능력을 훨씬 능가함에 따라, 유지 관리자들은 이제 "취약점 패치 물결"에 직면해 있습니다. 예를 들어, Google의 Chrome 팀은 이제 매주 두 번 보안 업데이트를 배포합니다.
이는 방어자에게 점점 좁아지는 기회의 창을 만듭니다. 공개적인 수정 사항은 본질적으로 무엇이 변경되었는지 드러내며, 공격자에게 익스플로잇 개발을 위한 로드맵을 제공합니다. 동시에 방어자들은 AI 지원 보안 도구에 접근할 수 있게 되어, 쉽게 발견할 수 있는 버그의 초기 홍수가 가라앉으면 잠재적으로 경쟁의 장을 평준화할 수 있습니다.
이 새로운 현실에서 실질적인 우선순위가 나타납니다. 조직은 다음을 수행해야 합니다:
- 인터넷에 연결된 모든 시스템 인벤토리화
- PHP 및 기타 영향을 받는 소프트웨어를 즉시 업데이트
- Linux 커널 수정 사항을 주시하고 ksmbd가 활성화되어 있는지 확인
- 사용하지 않는 구성 요소 비활성화
- 가능한 경우 안전한 패치 프로세스 자동화
패치는 분기별 작업이 아닌 지속적인 운영이 되어야 합니다. NCSC는 인터넷에 노출된 시스템을 우선시하고 패치가 불가능한 레거시 소프트웨어를 교체하는 "기본 업데이트(update by default)" 정책을 권장합니다.
자주 묻는 질문(FAQ)
Linux 커널 취약점 유출 사건에서 무슨 일이 있었나요?
Trend Micro의 Zero Day Initiative가 실수로 패치되지 않은 취약점 보고서를 비공개 보안 채널이 아닌 공개 Linux 커널 메일링 리스트로 전송했습니다.
Linux SMB 결함이 위험하다고 간주된 이유는 무엇인가요?
보고된 두 가지 결함은 CVSS 9.0 등급을 받았으며, 네트워크 트래픽을 처리하는 SMB 관련 코드에서 원격 코드 실행을 가능하게 할 수 있었습니다.
유출이 Linux 시스템이 적극적으로 공격받고 있다는 것을 의미하나요?
꼭 그렇지는 않습니다. 이번 공개로 취약점이 대중에 알려졌지만, 영상은 특정 결함을 악용하는 공격을 확인하는 대신 더 광범위한 취약점 공개의 물결을 설명하고 있습니다.
Linux 관리자는 무엇을 해야 하나요?
관련 배포판 업데이트를 즉시 적용하고, ksmbd가 활성화되어 있는지 확인하며, 수정 사항을 기다리는 동안 사용하지 않는 노출된 서비스나 구성 요소를 비활성화하십시오.