Linux epoll 취약점 CVE-2026-46242 정리

한 줄 요약

CVE-2026-46242는 Linux 커널의 epoll 경로에서 발생한 경합 조건 기반 Use-After-Free(UAF) 취약점입니다. NVD 설명과 GeekNews 보도를 함께 보면, 단순 크래시 이슈가 아니라 커널 메모리 손상으로 이어질 수 있는 보안 문제라는 점이 핵심입니다.

무엇이 문제였나

NVD는 이 취약점을 eventpoll: fix ep_remove struct eventpoll / struct file UAF라는 수정 맥락으로 설명합니다. 요지는 ep_remove()가 file->f_ep를 잠깐 비우는 순간과, 다른 경로의 __fput() / eventpoll_release()가 맞물리면서 이미 해제된 객체를 다시 건드릴 수 있었다는 점입니다. 이때 hlist_del_rcu()가 해제된 메모리에 쓰기를 시도하면서, 커널 수준 메모리 손상이 발생할 수 있습니다.

왜 이 이슈가 중요한가

epoll은 서버와 데스크톱, 임베디드, Android까지 폭넓게 쓰이는 커널 기본 기능입니다. 이런 공통 경로에서 UAF가 나면 영향 범위가 넓어집니다. 특히 커널 취약점은 단순 서비스 장애보다 더 무겁습니다. 권한 경계가 깨지면 로컬 사용자에게 루트 권한 상승의 발판이 될 수 있기 때문입니다.

흐름을 아주 단순하게 보면

단계	일어나는 일	위험
1	ep_remove()가 file->f_ep를 정리	상태가 일시적으로 불안정해짐
2	다른 스레드의 __fput()가 같은 파일 수명 종료 경로를 탐	해제 타이밍이 겹칠 수 있음
3	hlist_del_rcu()가 이미 해제된 메모리를 건드림	UAF와 메모리 손상 가능성

이런 류의 버그는 재현이 항상 쉽지 않습니다. 그래서 운영 현장에서는 재현 가능성보다 패치 여부를 먼저 보는 편이 안전합니다.

운영자가 오늘 확인할 것

• 배포판 보안 공지에서 해당 CVE와 커널 패치 여부를 확인합니다.
• 현재 실행 중인 커널 버전을 기록하고, 업데이트 대상인지 점검합니다.
• 서버뿐 아니라 Android 기기, 임베디드 장비, 하이퍼바이저 호스트도 함께 봅니다.
• 컨테이너를 쓴다고 해서 자동으로 안전하다고 가정하지 않습니다. 커널 취약점은 호스트 레벨에서 남습니다.

uname -r
# 배포판 보안 공지와 함께 커널 업데이트 여부를 확인합니다.

개발자가 기억할 점

이번 이슈는 경쟁 조건 + UAF 조합이 얼마나 위험한지 다시 보여줍니다. 코드가 짧아 보여도 객체 생명주기와 락 순서가 꼬이면, 결과는 단순 오류가 아니라 보안 결함이 됩니다. 커널이나 시스템 프로그래밍을 다룬다면, 상태를 바꾸는 코드와 해제 코드가 같은 자원을 서로 다른 락 아래에서 만지는지 늘 의심해야 합니다.

참고 링크

• NVD: CVE-2026-46242
• GeekNews: Bad Epoll (CVE-2026-46242)