클릭 없이 루트 탈취…클로드가 찾은 리눅스 커널 취약점 CVE-2026-98432

인공지능(AI)이 인터넷 인프라의 심장부를 겨냥한 공격 코드를 스스로 작성해냈다. 앤스로픽(Anthropic)은 지난달 말 공식 블로그를 통해 미공개 내부 연구용 클로드(Claude) 모델이 리눅스 커널 네트워킹 스택에서 자격 증명 없이, 사용자의 클릭 한 번 없이도 원격에서 루트(root) 권한으로 임의 명령을 실행할 수 있는 취약점을 찾아냈다고 밝혔다. 모델은 결함 발견을 넘어 이를 증명하는 익스플로잇까지 완성했으며, 해당 결함은 CVE-2026-98432로 추적돼 이미 커널 업스트림에 패치됐다.

경합 조건이 남긴 '해제된 메모리'

취약점의 뿌리는 IPv4 TCP 연결 수립 절차에 있다. 새 연결이 만들어질 때 커널은 대기 중인 연결 요청이 들고 있던 IP 옵션의 소유권을 새 소켓으로 별도 복사 없이 그대로 넘긴다. 바로 이 순간 다른 CPU가 재전송된 연결 요청을 동시에 처리하며 같은 옵션 값으로 응답 패킷(SYNACK)을 만들고 있으면, 먼저 해제된 자식 소켓의 메모리를 뒤늦게 읽는 사태가 벌어진다. 경합 조건으로 촉발되는 사용 후 해제(UAF) 결함이다.

결함의 심각도는 CVSS 척도에서 9.8점, 사실상 최고 등급으로 평가됐다. 커널 버전 4.4를 포함해 현재 유지보수 중인 8개 안정 브랜치가 모두 영향권에 있었다. 업스트림 수정 코드는 문제 개체를 즉시 해제하지 않고 RCU 그레이스 주기가 지날 때까지 유예하는 방식으로 경합을 제거했다. 수정 버전은 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3-rc7 등이다.

48분의 메모리 누출, 이어지는 5분의 제어 흐름 탈취

앤스로픽이 공개한 개념 증명(PoC) 익스플로잇은 두 단계로 진행된다. 1단계는 커널 주소 공간 배치 난수화(KASLR)의 원격 우회다. 모델은 경합을 유도해 커널이 공격자가 조작한 길이 필드를 읽게 만들고, 초과해 읽은 바이트를 응답에 담아 되돌려 받는다. 이 누출 데이터에 커널 포인터가 하나라도 섞이면 공격자는 커널 메모리의 실제 배치를 알아낸다.

2단계는 제어 흐름 탈취다. 같은 UAF 결함으로 버퍼를 넘쳐 써 콜백 함수 포인터를, 통상적인 프로토콜 기능으로 미리 커널 메모리에 심어 둔 페이로드 주소로 덮어쓴다. 커널이 해당 콜백을 호출하면 페이로드는 기존 커널 함수들을 연쇄 호출해 결국 공격자가 지정한 셸 명령을 루트 권한으로 실행시킨다.

이 경합의 핵심 속성은 지더라도 시스템이 다운되지 않는다는 점이다. 경합에서 패배하면 핸드셰이크만 실패할 뿐이라 공격자는 성공할 때까지 몇 번이고 재시도할 수 있다. 개념 증명에서 커널 포인터 하나를 누출하는 데 약 48분이 걸렸고, 이후 셸 명령 실행까지 5분이 더 소요됐다.

표적은 MPTCP 리스너를 연 서버

익스플로잇의 전제 조건은 멀티패스 TCP(MPTCP) 리스너다. MPTCP는 하나의 연결에서 여러 네트워크 경로를 동시에 쓰게 해 주는 TCP 확장으로, 대역폭 합산과 장애 경로 전환에 활용된다. 리눅스에서는 애플리케이션이 소켓 생성 시 명시적으로 요청해야 활성화되는 옵트인 프로토콜이라, 일반 TCP 서버가 곧장 노출되는 구조는 아니다. 다만 eBPF 등 별도 구성으로 애플리케이션에 강제 적용할 수도 있어 운영자 점검이 필요하다는 지적이 나온다.

패치 배포 현황은 배포판마다 다르다. 데비안, 오라클 리눅스, SUSE, 아마존 리눅스는 수정 커널 패키지를 이미 제공 중이다. 반면 우분투와 레드햇 엔터프라이즈 리눅스(RHEL)는 지난달 30일 기준으로 아직 수정 커널을 내놓지 않았다. 운영자에게는 커널 버전 확인, 보안 업데이트 적용, MPTCP 리스너 노출 여부 점검의 순서로 점검이 권고된다.

같은 연구에서 크롬·사파리·안드로이드·윈도우도

이번 리눅스 공격 체인은 앤스로픽이 동시에 공개한 다섯 개 공격 시연 가운데 하나다. 같은 발표에서 모델은 크롬의 V8 자바스크립트 엔진 힙 손상에서 출발해 샌드박스 밖 코드 실행까지 이어지는 공격 체인을 작성했고, 이 과정에서 부여된 취약점 번호는 62건에 이른다. 구글은 크롬 156에서 이를 모두 수정했으며, 샌드박스 탈출 13건과 렌더러 침해 소지 21건이 포함돼 있었다.

사파리에서는 자바스크립트 엔진의 사용 후 해제 결함과 샌드박스 내부 통신 취약점을 연계해 동일출처정책(SOP)을 우회하는 체인을 만들었고, 안드로이드에서는 잠긴 폰의 USB 데이터 전송 결함을 연계해 잠금 해제 없이 사진 등 개인정보를 빼내는 시연에 성공했다. 윈도우 커널의 HTTP/3용 QUIC 구현에서는 범위 밖 읽기 결함(CVE-2026-33096)을 찾아 인터넷에 열려 있을 것으로 추정되는 수백만 대의 서버를 반복적으로 다운시키는 원격 서비스 거부 공격이 가능함을 보였다. 앤스로픽은 모든 발견을 조율된 취약점 공개 절차에 따라 벤더에 먼저 보고했으며, 패치 기간 90일과 추가 45일을 두고서야 세부를 논의했다.

AI 보안 연구, 공격과 방어의 경계에서

AI 모델의 커널 감사는 이번이 처음이 아니다. 올해 4월에는 앤스로픽 연구자 니콜라스 칼리니가 클로드 코드를 이용해 리눅스 NFS 드라이버에 23년간 남아 있던 힙 버퍼 오버플로우를 찾아내며 원격 악용이 가능한 결함임을 입증한 바 있다. 이번 발표는 단순 발견을 넘어 복수의 취약점을 발굴하고 연계해 동작하는 익스플로잇을 완성하는 단계까지 자동화했다는 점에서 앞선 사례와 차이가 있다.

"프런티어 모델은 이제 여러 취약점을 결합해 동작하는 익스플로잇을 만들어낼 수 있다. 이는 그동안 소수 전문 그룹의 전유물이었던 영역이다" — 앤스로픽 블로그

앤스로픽은 대규모 병렬 스캐닝 에이전트 플랫폼, 다양한 스캐닝 전략, 확인된 발견에 대한 변이 분석 등이 취약점 발굴량을 크게 끌어올렸다고 설명했다. 동시에 새 취약점 유입을 막기 위해 코드 변경 시점의 보안 스캐닝이 필요하다며 클로드 코드용 보안 가이던스 플러그인을 공개했다. 방어자에게는 자체 코드 스캔이 그 어느 때보다 중요해졌다며, 자격을 갖춘 보안 전문가에게 고성능 모형 접근을 넓혀 주는 사이버 검증 프로그램을 확대 운영한다고 덧붙였다.

AI가 발견하는 취약점의 규모와 속도가 커지는 만큼, 운영자의 기본 방어선도 앞당겨질 것으로 전망된다. 패치가 반영된 커널 버전을 쓰고 있는지 확인하고, 불필요한 멀티패스 TCP 리스너가 인터넷에 그대로 노출되지 않았는지 점검하는 일이 그 첫걸음이다.