미 CISA, '역대급' 리눅스 커널 취약점 '카피 페일' 주의보 발령... 클라우드 및 암호화폐 인프라 보안 비상

디지털 자산 거래소와 블록체인 노드 운영의 핵심 인프라인 리눅스(Linux) 시스템에서 치명적인 보안 결함이 발견되어 암호화폐 업계에 비상이 걸렸다. 2026년 5월 1일, 미국 사이버보안 및 인프라 보안국(CISA)은 리눅스 커널의 '카피 페일(Copy Fail, CVE-2026-31431)' 취약점을 '알려진 악용된 취약점(KEV)' 카탈로그에 추가했다. 이는 해당 결함이 공개된 지 불과 48시간 만에 이루어진 이례적인 조치다.

보안 연구원들은 이 취약점을 '미친 수준(insane)'이라고 평가하며, 단 10줄의 파이썬 코드만으로 일반 사용자가 시스템의 최고 권한인 루트(root) 권한을 100% 확률로 획득할 수 있다고 경고했다. 2026년 5월 3일 현재, 이 결함은 주요 리눅스 배포판 전반에 걸쳐 즉각적인 패치가 요구되는 상황이다.

CISA는 연방 기관들에게 2026년 5월 1일부로 이 취약점을 즉각 수정할 것을 명령했다. 실제 공격 사례가 확인됨에 따라 긴급 패치 일정이 수립되었으며, 이는 리눅스 생태계 전반에 걸친 보안 위협의 심각성을 반영한다. 특히 암호화폐 거래소와 같이 리눅스 서버에 의존하는 금융 서비스 인프라에 대한 공격 가능성이 제기되고 있다.

카피 페일은 기존의 로컬 권한 상승 취약점보다 훨씬 실용적이고 이식성이 높으며, 사실상 모든 주요 배포판에서 작동한다. 이는 리눅스 보안 역사상 가장 위험한 결함 중 하나로 기록될 것이다.

보안 기업 신트 코드(Xint Code)의 연구팀에 따르면, 이 공격은 불과 732바이트 크기의 스크립트로 실행 가능하다. 확률에 의존하는 기존의 취약점들과 달리, 카피 페일은 결정론적 논리 오류를 이용하기 때문에 시스템 충돌 없이 안정적으로 권한을 탈취할 수 있다. 연구원들은 이 취약점이 '더티 파이프(Dirty Pipe)'보다 더 광범위하게 악용될 수 있다고 지적했다.

리눅스 커널 암호화 템플릿의 논리적 결함

이 취약점은 리눅스 커널의 'authencesn' 암호화 템플릿 내 자원 전송 로직 오류에서 발생한다. 공격자는 'AF_ALG' 인터페이스와 'splice()' 시스템 호출을 결합하여 읽기 권한이 있는 모든 파일의 페이지 캐시에 4바이트 데이터를 강제로 써넣을 수 있다. 이를 통해 공격자는 setuid 바이너리를 수정하거나 시스템 설정 파일을 조작하여 손쉽게 루트 권한을 획득한다.

• Ubuntu: 2026년 4월 30일 보안 패치 배포를 완료하고 사용자들에게 즉각적인 업데이트를 권고했다.
• AlmaLinux: 2026년 5월 1일 테스트용 패치를 공개했으며 엔터프라이즈 환경에서의 적용을 서두르고 있다.
• 임시 조치: 패치 적용이 불가능한 시스템의 경우 'algif_aead' 커널 모듈을 비활성화하여 공격 경로를 차단해야 한다.
• 모니터링: 시스템 관리자는 외부 프로세스에 의한 AF_ALG SEQPACKET 소켓 생성 여부를 집중 감시해야 한다.

테너블(Tenable) 등 보안 전문가들은 카피 페일을 과거의 '더티 파이프'나 '더티 카우(Dirty Cow)'와 비교하고 있다. 카피 페일은 레이스 컨디션(경합 상태)이나 복잡한 커널 오프셋 계산이 필요 없다는 점에서 이전의 취약점들보다 훨씬 위험한 것으로 간주된다. 특히 공격의 성공률이 100%에 달한다는 점이 보안 업계에 큰 충격을 주고 있다.

특히 멀티테넌트 클라우드 환경에서의 위험성이 강조된다. 버그크라우드(Bugcrowd)는 페이지 캐시가 호스트와 컨테이너 간에 공유된다는 점을 지적하며, 하나의 컨테이너가 침해될 경우 동일한 호스트를 사용하는 다른 모든 테넌트가 위험에 처할 수 있다고 경고했다. 이는 공유 인프라를 사용하는 가상 자산 서비스 제공업체들에게 치명적인 위협이 될 수 있다.

시스템 관리자를 위한 향후 대응 지침

2026년 5월 3일 현재, 시스템 관리자들은 CISA가 설정한 패치 기한을 준수하기 위해 인프라 전반의 커널 업데이트를 서둘러야 한다. 특히 외부 코드 실행이 가능한 환경에서는 즉각적인 모듈 차단 조치가 권장된다. CISA는 이번 취약점이 국가 배후 해킹 그룹에 의해 악용될 가능성도 배제하지 않고 있다.

보안 커뮤니티는 이번 사태가 리눅스 커널의 복잡한 서브시스템 간 상호작용에서 비롯된 만큼, 유사한 논리 결함이 추가로 발견될 가능성을 예의주시하고 있다. 지속적인 모니터링과 신속한 패치 적용만이 클라우드 자산과 암호화폐 인프라를 보호할 수 있는 유일한 방법이다. 관리자들은 각 배포판의 보안 권고를 실시간으로 확인해야 한다.