Критична вада ядра Linux (CVE-2026-98432): ризик віддаленого root на серверах з MPTCP
Дослідники Anthropic продемонстрували експлойт для критичної уразливості ядра Linux (CVE-2026-98432), що дає змогу виконувати команди від імені root на серверах із MPTCP-слухачами. Дистрибутиви випускають і готують виправлення.
Дослідники безпеки з Anthropic показали робочий експлойт для критичної вразливості ядра Linux (CVE-2026-98432), яка дозволяє неавтентифікованому зловмиснику віддалено виконувати команди з правами root на серверах із активними MPTCP-слухачами.
Що сталося і кого зачіпає
CVE-2026-98432 — use-after-free в IPv4 TCP-стеку, спричинений гонкою під час обробки запитів з’єднання. Команда CVE ядра Linux оцінила ризик у 9,8/10. Уразливість зачіпає ядра починаючи з гілки 4.4 та дистрибутиви на кшталт Ubuntu, Red Hat Enterprise Linux (RHEL) і Rocky Linux.
Проблема може проявлятися і в звичайному TCP, утім віддалене виконання коду наразі публічно продемонстровано лише на серверах із MPTCP-слухачем. За даними Red Hat, експлуатація гонки складніша за надсилання одного шкідливого пакета; компанія класифікує ризик як потенційний відмову в обслуговуванні (DoS) з оцінкою 5,9. Водночас Anthropic продемонструвала віддалене виконання коду за певних умов.
Демонстрація експлойту від Anthropic
За звітом Anthropic, неопублікована модель Claude створила експлойт, що обійшов KASLR і виконав довільні команди як root на сервері Linux з MPTCP-слухачем. Від моменту запуску атаки до отримання віддаленого root минуло близько 53 хвилин.
Чому ризики можуть бути прихованими
MPTCP зазвичай не вмикається за замовчуванням, але деяке ПЗ активує його автоматично. Починаючи з Go 1.24, у Linux MPTCP вмикається для TCP-слухачів, якщо ядро підтримує функцію, тож частина сервісів на Go може мати MPTCP-слухач без відома адміністраторів.
Оновлення та пом’якшення
Виправлення внесені в основне (upstream) ядро та зворотно портовані в підтримувані гілки, але оновлення ще не доступні для всіх дистрибутивів. За трекером Canonical, Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS і 26.10 залишаються вразливими станом на 30 жовтня, виправлення готуються. Red Hat перелічує RHEL 8, 9 і 10 як уражені (оновлення заплановані); RHEL 7 не зачіпає. CIQ підтверджує вразливість Rocky Linux 8, 9 і 10 та публікує тимчасові правила фаєрвола.
За трекером Debian, проблема виправлена в ядрах 6.1.190-1 для Debian 12 (Bookworm) та 6.12.113-1 для Debian 13 (Trixie); виправлення доступні також у testing і unstable. Оновлення вийшли для частини версій Oracle Linux, Amazon Linux і SUSE. macOS не зачіпає.
Рекомендації адміністраторам
- Стежити за бюлетенями свого дистрибутива та встановлювати оновлені пакети ядра.
- До виходу латок — обмежити доступ до сервера з уразливими службами лише з довірених мереж або IP-адрес.
- За рекомендацією CIQ, тимчасово блокувати IPv4 TCP-пакети з IP-опціями до їх потрапляння в уразливий код обробки TCP. Вимкнення лише MPTCP недостатнє, адже уразливість може тригеритися і звичайним TCP-трафіком.
Наразі немає підтверджених випадків експлуатації CVE-2026-98432 у публічному просторі.
