Уязвимость CVE-2026-98432 связана с гонкой в TCP-коде ядра Linux. Команда ядра оценила её в 9,8 балла из 10 по шкале CVSS. Ошибка может привести к use-after-free: ядро обращается к памяти, которую уже освободило. Anthropic 27 октября сообщила, что её модель Claude написала эксплойт, позволяющий удалённому злоумышленнику без учётных данных выполнять команды от имени root на серверах с прослушивающим сокетом MPTCP. По состоянию на 29 октября исправленных ядер для Ubuntu и Red Hat Enterprise Linux (RHEL) ещё не было.
MPTCP, или Multipath TCP, позволяет одному соединению использовать несколько сетевых путей. В Linux приложение должно запросить MPTCP при создании сокета. Команда безопасности Go 29 октября сообщила, что начиная с Go 1.24 программы по умолчанию включают MPTCP для сокетов, на которых принимают соединения. Связь между MPTCP и CVE описала Anthropic: ни запись CVE, ни исправление ядра её не упоминают. В исправлении указано имя исследователя Anthropic Синьяна Ге (Xinyang Ge), который сообщил об ошибке. Anthropic заявила, что уязвимость исправлена в основной ветке и патч перенесён во все поддерживаемые стабильные ветки ядра.
Проблема возникает во время TCP-handshake. После завершения соединения ядро передаёт новому сокету IP-опции, сохранённые для ожидающего запроса, не копируя их. Если сокет уничтожается, пока другой процессор обрабатывает повторный запрос и читает эти опции, происходит обращение к освобождённой памяти. В IPv6 эта гонка не возникает: для таких соединений ядро копирует опции. Ошибка появилась в Linux 4.4. Исправление внесли 5 октября, за десять дней до публикации CVE: теперь ядро ждёт, пока другие процессоры закончат чтение опций, и лишь затем освобождает память.
Статус дистрибутивов на 29 октября различался. Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS и 26.10 пометила как имеющие высокий приоритет для исправления, но работа ещё шла. Ubuntu 16.04, 18.04 и 20.04 оставались уязвимыми; исправленные пакеты не были выпущены. Уязвимыми также значились облачные, FIPS- и real-time-ядра Ubuntu. В RHEL 8, 9 и 10 и OpenShift 4 исправления не было; RHEL 7 уязвимости не подвержена. 29 октября Red Hat сообщила, что исправления отложены до будущего обновления, а 30 октября стала указывать эти продукты как Affected. Даты выпуска патчей Red Hat и Ubuntu не называли.
Ряд дистрибутивов уже выпустил исправления. Oracle Linux 7, 8, 9 и 10 с ядром UEK получил их 16 октября: ELSA-2026-500397, ELSA-2026-500398 и ELSA-2026-500399. Debian trixie исправлен 16 октября пакетом linux 6.12.113-1, бюллетень DSA-6568-1. Для Debian 12 (bookworm) пакеты linux 6.1.190-1 и linux-6.12 6.12.113-1~deb12u1 вышли 17 и 22 октября; им соответствуют DLA-4841-1 и DLA-4850-1. В SUSE Linux Micro 6.2 и openSUSE Leap 16.0 исправлена версия kernel-default 6.12.0-160000.40.1 или новее. Для SLES 15 SP4–SP6 LTSS, SLES 16.0 и SLE Micro 5.3–5.5 патчи проходили тестирование; для SLES 15 SP7 исправление готовили.
В Amazon Linux 2023 пакет ядра 6.18 исправили 24 октября: kernel6.18-6.18.56-125.164.amzn2023, бюллетень ALAS2023-2026-3251. Для ядра 6.12 бюллетень Amazon отметил исправление 29 октября: kernel6.12-6.12.113-138.209.amzn2023, ALAS2023-2026-3335. При этом страница CVE Amazon всё ещё показывала статус «ожидает исправления». Amazon Linux 2 и другие пакеты ядра Amazon Linux 2023 оставались без патча.
Оценки серьёзности у поставщиков расходятся. Команда CVE ядра добавила оценку 9,8 в запись CVE 24 октября, через девять дней после публикации уязвимости. Её сценарий предполагает, что атакующий отправляет TCP-запрос с опцией IPv4 Record Route или Timestamp, а затем повторяет его, пытаясь выиграть гонку. Сложность атаки команда оценила как низкую, поскольку обе стороны гонки можно вызвать действиями атакующего. Возможные последствия — утечка близлежащей памяти ядра, её повреждение или отказ системы. На 28 октября NVD не выставила собственную оценку и показывала 9,8 команды ядра; такую же цифру указывала Ubuntu.
Red Hat оценила уязвимость в 5,9 и назвала её умеренной: по мнению компании, гонку трудно выиграть, наиболее вероятный результат — сбой ядра, хотя повреждение памяти теоретически возможно. На странице CVE Red Hat сказано: «Влияние на конфиденциальность или целостность не было продемонстрировано». Однако в машиночитаемом бюллетене, обновлённом 29 октября, оценка составила 8,1, а влияние на конфиденциальность и целостность было указано как высокое. В тот же день трекер Red Hat сменил серьёзность с средней на высокую, хотя страница CVE всё ещё показывала 5,9. Oracle и SUSE также поставили 8,1. Их векторы совпадают с вектором бюллетеня Red Hat по всем показателям, кроме сложности атаки: поставщики считают её высокой, команда ядра — низкой. Оценка Amazon — 7,0. Эти различия меняют приоритеты для администраторов, но не устраняют саму уязвимость.
По описанию Anthropic, эксплойт работает в два этапа. Сначала гонка заставляет ядро отправить атакующему лишние байты; если среди них оказывается адрес ядра, можно обойти KASLR — рандомизацию адресного пространства ядра. Затем ошибка приводит к переполнению буфера: указатель функции перезаписывается адресом полезной нагрузки, уже размещённой в памяти ядра. Когда ядро обращается по этому адресу, выполняется выбранная атакующим команда с правами root. Anthropic утверждает, что проигрыш гонки срывает только одну попытку соединения и не вызывает сбой системы, поэтому её можно повторять. В тесте утечка адреса ядра заняла 48 минут, а получение выполнения команды — ещё пять. Публикация не содержит кода эксплойта, версии ядра и параметров тестовой конфигурации. Red Hat отмечает, что гонку может запустить удалённый атакующий, способный подключиться к открытому TCP-сервису. При этом описанный Anthropic сценарий получения root был испытан на серверах с MPTCP listener; компания не уточнила, возможен ли такой захват без него.
По состоянию на 29 октября ни поставщики, ни запись CVE, ни Anthropic не сообщали об атаках с использованием этой ошибки. В копии каталога известных эксплуатируемых уязвимостей CISA, которую CIRCL в Люксембурге обновил 28 октября, CVE-2026-98432 тоже не было. Если исправленное ядро уже доступно, его следует установить. Для самостоятельной сборки патч включён в Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3. Команда CVE ядра рекомендует перейти на последнюю стабильную версию и не поддерживает выборочный перенос отдельных исправлений.
Для Ubuntu, RHEL, а также некоторых выпусков Amazon Linux и SUSE на 29 октября готового ядра ещё не было. Red Hat заявила, что доступная мера не отвечает её требованиям: она должна легко применяться, подходить большинству установок и оставаться стабильной. Другие дистрибутивы в своих бюллетенях обходных мер не указали. Документация не подтверждает, снижает ли риск отключение MPTCP в ядре или блокировка входящих запросов с IP-опциями. Для программ на Go команда безопасности предлагает установить
Изображение носит иллюстративный характер
MPTCP, или Multipath TCP, позволяет одному соединению использовать несколько сетевых путей. В Linux приложение должно запросить MPTCP при создании сокета. Команда безопасности Go 29 октября сообщила, что начиная с Go 1.24 программы по умолчанию включают MPTCP для сокетов, на которых принимают соединения. Связь между MPTCP и CVE описала Anthropic: ни запись CVE, ни исправление ядра её не упоминают. В исправлении указано имя исследователя Anthropic Синьяна Ге (Xinyang Ge), который сообщил об ошибке. Anthropic заявила, что уязвимость исправлена в основной ветке и патч перенесён во все поддерживаемые стабильные ветки ядра.
Проблема возникает во время TCP-handshake. После завершения соединения ядро передаёт новому сокету IP-опции, сохранённые для ожидающего запроса, не копируя их. Если сокет уничтожается, пока другой процессор обрабатывает повторный запрос и читает эти опции, происходит обращение к освобождённой памяти. В IPv6 эта гонка не возникает: для таких соединений ядро копирует опции. Ошибка появилась в Linux 4.4. Исправление внесли 5 октября, за десять дней до публикации CVE: теперь ядро ждёт, пока другие процессоры закончат чтение опций, и лишь затем освобождает память.
Статус дистрибутивов на 29 октября различался. Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS и 26.10 пометила как имеющие высокий приоритет для исправления, но работа ещё шла. Ubuntu 16.04, 18.04 и 20.04 оставались уязвимыми; исправленные пакеты не были выпущены. Уязвимыми также значились облачные, FIPS- и real-time-ядра Ubuntu. В RHEL 8, 9 и 10 и OpenShift 4 исправления не было; RHEL 7 уязвимости не подвержена. 29 октября Red Hat сообщила, что исправления отложены до будущего обновления, а 30 октября стала указывать эти продукты как Affected. Даты выпуска патчей Red Hat и Ubuntu не называли.
Ряд дистрибутивов уже выпустил исправления. Oracle Linux 7, 8, 9 и 10 с ядром UEK получил их 16 октября: ELSA-2026-500397, ELSA-2026-500398 и ELSA-2026-500399. Debian trixie исправлен 16 октября пакетом linux 6.12.113-1, бюллетень DSA-6568-1. Для Debian 12 (bookworm) пакеты linux 6.1.190-1 и linux-6.12 6.12.113-1~deb12u1 вышли 17 и 22 октября; им соответствуют DLA-4841-1 и DLA-4850-1. В SUSE Linux Micro 6.2 и openSUSE Leap 16.0 исправлена версия kernel-default 6.12.0-160000.40.1 или новее. Для SLES 15 SP4–SP6 LTSS, SLES 16.0 и SLE Micro 5.3–5.5 патчи проходили тестирование; для SLES 15 SP7 исправление готовили.
В Amazon Linux 2023 пакет ядра 6.18 исправили 24 октября: kernel6.18-6.18.56-125.164.amzn2023, бюллетень ALAS2023-2026-3251. Для ядра 6.12 бюллетень Amazon отметил исправление 29 октября: kernel6.12-6.12.113-138.209.amzn2023, ALAS2023-2026-3335. При этом страница CVE Amazon всё ещё показывала статус «ожидает исправления». Amazon Linux 2 и другие пакеты ядра Amazon Linux 2023 оставались без патча.
Оценки серьёзности у поставщиков расходятся. Команда CVE ядра добавила оценку 9,8 в запись CVE 24 октября, через девять дней после публикации уязвимости. Её сценарий предполагает, что атакующий отправляет TCP-запрос с опцией IPv4 Record Route или Timestamp, а затем повторяет его, пытаясь выиграть гонку. Сложность атаки команда оценила как низкую, поскольку обе стороны гонки можно вызвать действиями атакующего. Возможные последствия — утечка близлежащей памяти ядра, её повреждение или отказ системы. На 28 октября NVD не выставила собственную оценку и показывала 9,8 команды ядра; такую же цифру указывала Ubuntu.
Red Hat оценила уязвимость в 5,9 и назвала её умеренной: по мнению компании, гонку трудно выиграть, наиболее вероятный результат — сбой ядра, хотя повреждение памяти теоретически возможно. На странице CVE Red Hat сказано: «Влияние на конфиденциальность или целостность не было продемонстрировано». Однако в машиночитаемом бюллетене, обновлённом 29 октября, оценка составила 8,1, а влияние на конфиденциальность и целостность было указано как высокое. В тот же день трекер Red Hat сменил серьёзность с средней на высокую, хотя страница CVE всё ещё показывала 5,9. Oracle и SUSE также поставили 8,1. Их векторы совпадают с вектором бюллетеня Red Hat по всем показателям, кроме сложности атаки: поставщики считают её высокой, команда ядра — низкой. Оценка Amazon — 7,0. Эти различия меняют приоритеты для администраторов, но не устраняют саму уязвимость.
По описанию Anthropic, эксплойт работает в два этапа. Сначала гонка заставляет ядро отправить атакующему лишние байты; если среди них оказывается адрес ядра, можно обойти KASLR — рандомизацию адресного пространства ядра. Затем ошибка приводит к переполнению буфера: указатель функции перезаписывается адресом полезной нагрузки, уже размещённой в памяти ядра. Когда ядро обращается по этому адресу, выполняется выбранная атакующим команда с правами root. Anthropic утверждает, что проигрыш гонки срывает только одну попытку соединения и не вызывает сбой системы, поэтому её можно повторять. В тесте утечка адреса ядра заняла 48 минут, а получение выполнения команды — ещё пять. Публикация не содержит кода эксплойта, версии ядра и параметров тестовой конфигурации. Red Hat отмечает, что гонку может запустить удалённый атакующий, способный подключиться к открытому TCP-сервису. При этом описанный Anthropic сценарий получения root был испытан на серверах с MPTCP listener; компания не уточнила, возможен ли такой захват без него.
По состоянию на 29 октября ни поставщики, ни запись CVE, ни Anthropic не сообщали об атаках с использованием этой ошибки. В копии каталога известных эксплуатируемых уязвимостей CISA, которую CIRCL в Люксембурге обновил 28 октября, CVE-2026-98432 тоже не было. Если исправленное ядро уже доступно, его следует установить. Для самостоятельной сборки патч включён в Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3. Команда CVE ядра рекомендует перейти на последнюю стабильную версию и не поддерживает выборочный перенос отдельных исправлений.
Для Ubuntu, RHEL, а также некоторых выпусков Amazon Linux и SUSE на 29 октября готового ядра ещё не было. Red Hat заявила, что доступная мера не отвечает её требованиям: она должна легко применяться, подходить большинству установок и оставаться стабильной. Другие дистрибутивы в своих бюллетенях обходных мер не указали. Документация не подтверждает, снижает ли риск отключение MPTCP в ядре или блокировка входящих запросов с IP-опциями. Для программ на Go команда безопасности предлагает установить
GODEBUG=multipathtcp=0 в окружении программы либо добавить godebug multipathtcp=0 в go.mod главного модуля. Вызов SetMultipathTCP переопределяет обе настройки. Команда Go называет такой способ хрупким: достаточно одного доступного MPTCP listener, а сама уязвимость не ограничена MPTCP, поэтому системы без таких слушающих сокетов тоже могут подвергаться похожим атакам. Надёжный способ защиты — обновить ядро.
