솔라나 재단, Ubuntu 검증인에 IPv4 TCP 패킷 차단 권고... CVE-2026-98432 대응

솔라나 재단, CVE-2026-98432 경고

솔라나 재단의 검증인 관계 책임자 Tim Garcia가 Ubuntu로 운영하는 스테이킹 운영자들에게 리눅스 커널 취약점 CVE-2026-98432에 대한 임시 네트워크 완화 조치를 적용하라고 권고했다. 업스트림에는 수정 코드가 존재하지만 배포판이 패치된 커널을 아직 내놓지 않았기 때문이다. 이 권고는 2026년 11월 2일 월요일 공개 게시물로 알려졌으며, 솔라나 네트워크의 스테이킹 인프라를 운영하는 팀을 겨냥한 것이다. Garcia가 제시한 조치는 구체적이다. Ubuntu 검증인은 IPv4 옵션을 실은 인바운드 TCP 패킷을 임시로 폐기하고, 멀티패스 TCP(MPTCP)를 비활성화하며, TCP 요청 소켓 마이그레이션 기능도 꺼야 한다. MPTCP는 하나의 TCP 연결이 여러 네트워크 경로를 동시에 통과하도록 허용하는 커널 확장이다. 회복 탄력성에는 유리하지만 외부 피어가 수신 대기 중인 서버에서 닿을 수 있는 코드 표면을 넓힌다. 이 권고는 인프라 문제이며 솔라나 가격과는 무관하다. 재단의 메시지에는 네트워크 다운타임, 슬래싱, 위험에 노출된 자금에 대한 언급이 없었다. 커널 TCP 결함은 애플리케이션 버그와 다른 등급의 문제다. 커널은 기계 위의 모든 프로세스 아래에 자리하며, 클라이언트 바이너리를 갱신하는 방식으로는 패치할 수 없다. 임시 조치가 이런 형태를 띠는 이유다. Ubuntu가 수정본을 배포할 때까지 IPv4 옵션 패킷을 걸러 내고 해당 TCP 기능을 끄면 결함에 필요한 도달 가능성이 사라지고, 검증인의 피어 트래픽 성능 비용은 사실상 없다. 검증인은 피어의 인바운드 연결을 하루 24시간 받아들이는 공개 엔드포인트를 오래 유지하므로, 패치를 기다리는 동안 운영체제의 TCP 스택만은 단순히 꺼 둘 수 없는 구성 요소다. 결함 자체는 이미 업스트림 리눅스 커널에서 수정됐다. 남는 위험은 배포판 커널이 그 뒤를 따라오지 못한 데서 온다. Garcia가 따로 짚은 배포판이 바로 Ubuntu다.

9.8점 평점과 MPTCP 조건

CVE-2026-98432에 대한 기술 평가는 그림을 한층 분명하게 만든다. SlowMist 최고 정보보안 책임자 23pds는 심각도 분석을 게시해 이 결함에 9.8점을 매기고, IPv4 TCP 핸드셰이크 과정의 사용 후 해제 경합 상태, 즉 메모리 버퍼가 해제된 뒤에도 동시 실행 중인 코드 경로가 그 버퍼에 접근할 수 있는 오류로 설명했다. 9.8점은 최악의 영향을 기준으로 한다. 23pds는 최악의 경우와 모든 Ubuntu 서버가 클릭 한 번으로 원격 루트 권한을 빼앗긴다는 헤드라인 주장 사이의 간극을 명확히 했고, 그 주장을 과장이라고 평가했다. 실제로 시연된 원격 루트 공격은 통제된 실험 환경에서 나온 것으로, Anthropic의 연구용 Claude 모델이 익스플로잇 체인을 만들었으며 대상 서버에 MPTCP 리스너가 실행 중일 때에만 성공했다. 이 조건이 핵심이다. MPTCP 리스너가 없는 서버는 있는 서버와 공격 표면이 다르고, 대부분의 호스트는 도구 체인이 대신 켜 주지 않는 한 기본으로 리스너를 돌리지 않는다. 배포판들은 각기 다른 속도로 수정에 접근하고 있다. 10월 30일 기준으로 Debian 12와 Debian 13은 패치를 반영했고, Ubuntu 22.04, 24.04, 26.04는 아직 수정 대기열에 있으며, Red Hat Enterprise Linux 8, 9, 10은 수정을 미뤄 둔 상태다. 실제 환경에서 대규모 악용이 확인된 사례는 아직 기록되지 않았다. 영향 범위는 멀티패스 네트워킹을 알고 켠 관리자보다 넓다. 별도의 게시물에서 IoTeX는 자체 노출 사실을 지적했다. Go 1.24 이상은 수신 대기 소켓에 MPTCP를 기본으로 켜기 때문에, 운영자가 선택하지 않았더라도 iotex-core의 P2P 포트 4689가 시연된 공격 경로에 들어온다. 그래서 IoTeX의 메모가 두 건 중 더 불안하게 느껴진다. 조건을 만드는 것은 시스템 관리자의 선택이 아니라 언어 런타임의 기본값이기 때문이다. 프로젝트의 권고는 재단의 권고와 같다. 영향받는 커널 위의 노드는 가능한 한 빨리 업그레이드해 재시작하고, 아직 수정 커널이 없는 Ubuntu에서는 그때까지 IPv4 옵션을 실은 패킷을 차단하라는 것이다.

솔라나 쪽에서 실질적으로 도출되는 결론은, 노출 여부가 CVE 자체만큼이나 구성 설정에 달려 있다는 점이다. MPTCP 리스너를 돌리지 않는 검증인이나 Garcia의 필터를 이미 적용한 검증인은 시연된 경로 밖에 있으며, 임시 조치의 비용은 Ubuntu의 커널 작업이 끝날 때까지 사실상 미미하다. 이번 분기는 이미 솔라나의 운영 표면을 조명해 왔다. 네트워크 앱 스토어에서 악성 SKR 클레임 앱이 제거됐고, 검증인을 겨냥한 SIMD-0567 토큰 계정 제안이 논의됐으며, 이번 권고는 여기에 호스트 수준 보안이라는 항목을 하나 더한다. 기록이 입증하지 못하는 부분도 분명하다. CVE-2026-98432가 야생에서 악용된 공식 확인 사례는 없고, RHEL 운영자는 여전히 배포된 수정본을 기다리고 있으며, 시연된 루트 권한 탈취는 관측된 네트워크 사건이 아니라 실험실 결과로 남아 있다.