Linuxkärnans sårbarhet möjliggör fjärrangrepp med root på MPTCP-servrar

Säkerhetsforskare på Anthropic utvecklade en exploit för CVE-2026-98432, en sårbarhet i Linuxkärnan som kan låta obehöriga angripare köra kommandon som root på servrar med MPTCP-lyssnare. Anthropic uppgav att en ännu inte släppt Claude-modell utvecklade exploiten, som under särskilda förhållanden nådde fjärrkörning av kod på omkring 53 minuter.

Felet är en användning-efter-frigöring-bugg i kärnans IPv4-kod för TCP-nätverk och påverkar kärnor från och med version 4.4. CVE-teamet för Linux-kärnan gav sårbarheten betyget 9,8 av 10. Red Hat gav den allvarlighetsgraden 5,9, med hänvisning till hur komplicerad kapplöpningssituationen är att utnyttja, och klassade den som ett möjligt överbelastningsproblem. Felet påverkar även vanliga TCP-anslutningar, men fjärrkörning av kod har inte offentligt visats på servrar utan en MPTCP-lyssnare.

MPTCP låter en anslutning använda flera nätverksvägar. Från och med Go 1.24 aktiveras MPTCP som standard för TCP-lyssnare på Linux när kärnan stöder funktionen. Därför kan vissa Go-tjänster använda MPTCP utan att administratörerna känner till det.

Fixen i uppströmskärnan har bakporterats till underhållna grenar, men uppdateringar finns ännu inte för alla berörda distributioner. Canonical uppgav att Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS och 26.10 fortfarande var sårbara den 30 oktober och att arbetet med fixar pågick. Red Hat listade RHEL 8, 9 och 10 som berörda; RHEL 7 påverkas inte. Debianfixar omfattar kärnpaketen 6.1.190-1 för Debian 12 och 6.12.113-1 för Debian 13. Det finns inga bekräftade rapporter om att sårbarheten har utnyttjats i verkliga angrepp.