비트코인 코어 및 라이트닝 개발자인 맷 코랄로는 10월 30일 심각한 리눅스 커널 취약점을 지적하며, 그가 “역대 가장 치명적인 리눅스 취약점”이라고 부른 사안에 대한 우분투의 지연된 대응을 비판했다. CVE-2026-98432로 추적되는 이 버그는 커널의 IPv4 TCP 핸드셰이크 코드에 영향을 미치며 CVSS 심각도 점수는 9.8이다. 앤트로픽의 프런티어 레드 팀은 이후 이 취약점이 멀티패스 TCP(MPTCP) 리스너를 노출한 시스템에 대해 원격 루트 익스플로잇으로 전환될 수 있음을 보여주었다.
피터 토드는 같은 날 이 경고에 동조하며, 리눅스에서 열린 포트로 LND을 실행 중인 사람은 누구든 커널이 패치되거나 다른 방식으로 완화될 때까지 비트코인 라이트닝 노드를 종료할 것을 권고했다. 시연된 익스플로잇 경로는 MPTCP 리스너에 의존하는데, 이는 Go 1.24 이후 버전에서 기본적으로 활성화된다. LND이 Go로 작성되었기 때문에, 최근 버전들은 커널에서 해당 기능이 활성화되어 있을 때마다 피어, gRPC, REST 포트에서 MPTCP으로 리스닝하고 있었다.
Lightning Labs는 같은 날 긴급 릴리스로 대응했습니다: lnd v0.21.6-beta와 백포트 v0.20.7-beta입니다. 두 버전 모두 MPTCP 리스너를 기본적으로 비활성화하여 LND을 통한 입증된 익스플로잇 경로를 차단합니다. 프로젝트 측은 이 변경을 수정이 아닌 완화 조치라고 설명하며, 근본적인 문제는 패치된 커널만이 완전히 해결한다고 밝혔습니다. MPTCP이 호스트 전체에서 비활성화되거나 커널이 업데이트될 때까지 같은 머신의 다른 서비스들은 여전히 노출된 상태로 남습니다. Olaoluwa Osuntokun과 공식 Lightning Labs 계정 모두 업데이트를 권장했습니다.
보안 연구원 마커스 허친스는 이후 위협 행위자들이 노출된 시스템을 찾고 있는 것과 일치하는 인터넷 전역 스캔 활동을 보고했다. 그의 스캔에서는 포트 443에서 MPTCP를 통해 접근 가능한 서버가 약 210만 개 발견되었다. International Cyber Digest는 11월 4일 이 발견을 확대 보도하며 스캔 활동과 우분투의 더딘 패치 일정을 지적했다.
Canonical은 이후 Ubuntu 22.04, 24.04, 26.04의 옵트인 proposed 포켓에 수정된 커널을 제공했지만, 아직 정규 업데이트 채널에는 도달하지 않았다. Red Hat은 11월 1일 RHEL 8/9/10에 대한 수정 사항을 배포했으며, Debian, Amazon Linux 및 기타 배포판은 이미 그보다 앞서 패치를 릴리스했다.
UmbrelOS 2.0.1은 11월 1일 x86 기기용 커널 수정 사항을 포함했으며, 수정된 커널이 아직 제공되지 않은 Raspberry Pi에는 트래픽 차단 완화 조치를 적용했습니다. 실제 공격에서 악용되었다는 확인된 사례는 보고되지 않았으며, 해당 취약점은 CISA의 알려진 악용 취약점 목록에 추가되지 않았습니다. Anthropic의 원격 루트 시연은 아직 공개되지 않았습니다.
실질적 노출 위험은 인터넷에 연결된 서버에서 가장 높습니다. 일반적인 NAT와 방화벽 뒤에 있고 공용 TCP 리스너가 없는 가정용 데스크톱 시스템은 영향을 훨씬 덜 받습니다. Linux에서 Lightning을 운영하는 경우, LND 릴리스는 공개 익스플로잇이 사용한 특정 MPTCP 리스너 경로를 제거하지만, 패치된 커널이 설치될 때까지 더 광범위한 커널 버그는 남아 있습니다.