Критична вразливість Linux загрожує серверам із MPTCP

Дослідники Anthropic розробили експлойт для критичної вразливості в ядрі Linux, яка за певних умов дає змогу неавтентифікованому зловмиснику віддалено виконувати команди з правами root на серверах із налаштованими слухачами Multipath TCP (MPTCP). Про це повідомляє BleepingComputer.

Проблему відстежують за ідентифікатором CVE-2026-98432. Команда CVE ядра Linux оцінила її критичність у 9,8 бала з 10. Вразливість типу use-after-free міститься в коді мережевого стеку IPv4 TCP і зачіпає ядра Linux, починаючи з версії 4.4, зокрема системи на базі Ubuntu, Red Hat Enterprise Linux і Rocky Linux.

Умови експлуатації

Причиною є стан гонитви під час обробки ядром запитів на TCP-з’єднання, що потенційно призводить до використання вже звільненої ділянки пам’яті. Вразливість також може стосуватися звичайних TCP-з’єднань, однак публічної демонстрації віддаленого виконання коду на серверах без MPTCP-слухача не було.

За даними Anthropic, неопублікована модель Claude обійшла механізм рандомізації адресного простору ядра KASLR і приблизно за 53 хвилини досягла віддаленого виконання довільних команд із правами root на сервері Linux із MPTCP-слухачем. Red Hat водночас класифікує проблему як потенційну відмову в обслуговуванні з оцінкою 5,9 бала, зазначаючи, що експлуатація стану гонитви складніша за надсилання одного шкідливого мережевого пакета.

Оновлення та тимчасовий захист

Виправлення вже внесли до основного дерева ядра Linux і перенесли до підтримуваних гілок. Станом на 30 жовтня Canonical ще готувала оновлення для Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS і 26.10. У Red Hat повідомили, що виправлення для RHEL 8, 9 і 10 планують випустити пізніше; RHEL 7 не містить уразливого коду.

У Debian проблему усунули у версіях пакета ядра 6.1.190-1 для Debian 12 Bookworm та 6.12.113-1 для Debian 13 Trixie. Окремі виправлення також випустили Oracle Linux, Amazon Linux і SUSE. Адміністраторам радять встановлювати оновлення ядра відповідно до бюлетенів свого дистрибутива. За відсутності патчів CIQ рекомендує обмежити доступ довіреними мережами чи IP-адресами та тимчасово блокувати IPv4 TCP-пакети з IP-опціями. Вимкнення MPTCP саме по собі не усуває проблему, оскільки її можна активувати і через звичайний TCP-трафік. Підтверджених випадків експлуатації CVE-2026-98432 у реальних атаках наразі немає.