Уязвимость CVE-2026-98432 в обработке IPv4 TCP-соединений в ядре Linux может приводить к чтению уже освобождённой памяти. Команда CVE проекта Linux оценила проблему в 9,8 балла по CVSS, однако оценки поставщиков дистрибутивов расходятся: Red Hat указывает 5,9, Oracle и SUSE — 8,1, Amazon — 7,0.
По состоянию на 29 октября исправленные пакеты уже выпустили Debian, Oracle Linux, SUSE для части поддерживаемых вариантов и Amazon Linux 2023 для пакетов kernel6.18 и kernel6.12. Для Ubuntu и Red Hat Enterprise Linux обновлений ещё не было. Сообщений об атаках с эксплуатацией CVE-2026-98432 нет; уязвимость также отсутствовала в каталоге известных эксплуатируемых уязвимостей CISA KEV по состоянию на 28 октября. Это проверялось по отображению CIRCL, обновлённому 28 октября.
Что происходит в ядре
Ошибка находится в коде установки новых IPv4 TCP-соединений и относится к классу use-after-free. При определённой последовательности действий ядро обращается к памяти, освобождённой ранее.
Гонка возникает при завершении установки соединения. Ядро передаёт новому сокету без копирования IP-параметры, сохранённые вместе с ожидающим запросом. Если этот сокет уничтожается, пока другой процессор ещё использует параметры для ответа на повторный запрос соединения, происходит чтение освобождённой области памяти.
IPv6 этой гонке не подвержен: для IPv6-соединений параметры копируются. Проблема присутствует в Linux начиная с версии 4.4. Разработчики ядра внесли исправление 5 октября, за десять дней до публикации записи CVE. Оно заставляет ядро дождаться завершения чтения опций другими процессорами перед их освобождением.
В патче указано, что об ошибке сообщил исследователь Anthropic Синьян Гэ. Ни в записи CVE, ни в самом исправлении не упоминается Multipath TCP (MPTCP), но Anthropic связывает свой сценарий эксплуатации именно с этой функцией. MPTCP позволяет одному соединению использовать несколько сетевых путей; в Linux приложение должно отдельно запросить поддержку MPTCP при открытии сокета.
Оценки риска и возможный сценарий
Команда CVE ядра Linux добавила оценку 9,8 24 октября — через девять дней после публикации CVE. Её сценарий предполагает, что атакующий отправляет запрос на TCP-соединение с IPv4-опциями Record Route либо Timestamp, а затем повторяет запрос, пытаясь выиграть гонку. Сложность атаки команда оценила как низкую, поскольку, по её мнению, обе стороны гонки инициирует атакующий.
В этом сценарии последствия могут включать передачу атакующему соседних блоков памяти ядра, повреждение памяти ядра или отказ системы. На 28 октября NVD не назначила отдельный балл и отображала оценку 9,8 от команды ядра; такой же балл был указан на странице Ubuntu.
Red Hat на странице CVE указывала уровень Moderate и 5,9 CVSS. Компания считает выигрыш гонки сложным, наиболее вероятным последствием — сбой ядра, а повреждение памяти — теоретически возможным. Там же отмечалось, что воздействие на конфиденциальность или целостность не было продемонстрировано.
При этом машиночитаемый файл рекомендаций Red Hat, обновлённый 29 октября, классифицировал проблему как Important с оценкой 8,1 и высоким влиянием на конфиденциальность и целостность. В тот же день в трекере ошибок Red Hat серьёзность повысили со средней до высокой, но страница CVE продолжала содержать оценку Moderate/5,9.
Oracle и SUSE также используют оценку 8,1 и тот же вектор CVSS, что в файле рекомендаций Red Hat. От оценки команды ядра он отличается только сложностью атаки: поставщики считают её высокой, команда ядра — низкой. Amazon оценивает CVE-2026-98432 в 7,0 балла.
Эксплойт, описанный Anthropic
27 октября Anthropic сообщила, что её модель Claude после начального запроса написала эксплойт для этой уязвимости. По утверждению компании, он позволяет удалённому атакующему без учётных данных выполнять команды с правами root на Linux-серверах, где есть MPTCP-прослушиватель.
При планировании таких работ можно отдельно изучить в разделе услуг ИТБ по информационной безопасности доступные направления и сопоставить их с задачами своей организации.
Описанный экспериментальный сценарий состоит из двух этапов. Сначала гонка заставляет ядро отправить атакующему дополнительные байты. Если в ответе оказывается адрес ядра, это позволяет обойти KASLR — механизм рандомизации адресов памяти ядра. Затем та же ошибка используется для переполнения буфера и перезаписи указателя обратного вызова адресом полезной нагрузки, заранее размещённой в памяти ядра. При вызове этого указателя ядро выполняет выбранную атакующим команду оболочки с правами root.
По данным Anthropic, неудачная попытка выиграть гонку приводит только к провалу одного подключения, а не к сбою системы, поэтому попытки можно повторять. В тестах компании получение утечки адреса ядра заняло 48 минут, ещё пять минут потребовалось для перехода к выполнению команды.
При этом Anthropic не раскрыла код эксплойта, версию ядра и конфигурацию тестового стенда. Red Hat подтверждает, что удалённый атакующий, имеющий доступ к незащищённому TCP-сервису, способен инициировать гонку. Однако описанный Anthropic вариант с выполнением команд от root рассчитан именно на серверы с MPTCP-прослушивателем. Возможность аналогичного захвата контроля над серверами без такого прослушивателя в публикации не установлена.
Статус исправлений
Ubuntu относит CVE-2026-98432 к высокоприоритетным для 22.04 LTS, 24.04 LTS, 26.04 LTS и 26.10, но на 29 октября не выпустила для них исправления: работа продолжается. Для Ubuntu 16.04, 18.04 и 20.04 проблема также отмечена как высокоприоритетная и актуальная, однако пакеты отсутствуют. Уязвимыми либо находящимися в разработке обновлений Ubuntu называет также ядра для облачных сред, FIPS и систем реального времени.
Для RHEL 8, 9 и 10, а также OpenShift 4 исправление отложено до будущего обновления; доступных пакетов нет. RHEL 7 не затронут. Red Hat не назвала дату выпуска и заявила, что ни один из доступных вариантов смягчения не соответствует её требованиям по простоте развёртывания, применимости к большинству установок и стабильности.
Amazon Linux 2023 с пакетом kernel6.18 получил исправление 24 октября: kernel6.18-6.18.56-125.164.amzn2023, рекомендация ALAS2023-2026-3251. Для Amazon Linux 2023 с kernel6.12 в рекомендации ALAS2023-2026-3335 указано исправление от 29 октября — kernel6.12-6.12.113-138.209.amzn2023. В то же время на CVE-странице Amazon для этого варианта всё ещё отображался статус подготовки исправления.
Для Amazon Linux 2 и Amazon Linux 2023 с базовым пакетом kernel исправление находилось в разработке и опубликовано не было.
Oracle Linux 7, 8, 9 и 10 с ядром UEK получили обновления 16 октября. Указаны рекомендации ELSA-2026-500397, ELSA-2026-500398 и ELSA-2026-500399; уровень риска — Important, оценка — 8,1.
В Debian исправление доступно для stable-ветки trixie с 16 октября в пакете linux 6.12.113-1, рекомендация DSA-6568-1. Для Debian 12 bookworm выпущены пакеты linux 6.1.190-1 — 17 октября, DLA-4841-1, — и linux-6.12 6.12.113-1~deb12u1 — 22 октября, DLA-4850-1.
SUSE выпустила исправление для SUSE Linux Micro 6.2 и openSUSE Leap 16.0: требуется kernel-default 6.12.0-160000.40.1 или новее. Для SLES 15 SP4–SP6 LTSS, SLES 16.0 и SLE Micro 5.3–5.5 обновления находились на стадии тестирования. SLES 15 SP7 отмечен как затронутый, исправление для него разрабатывается. Для всех этих вариантов SUSE указывает уровень риска Important и оценку 8,1.
Что проверить администраторам
Организациям следует проверить используемую ветку ядра и статус пакетов у поставщика дистрибутива. Если обновлённое ядро доступно, его следует установить. Для Debian, Oracle Linux, SUSE и Amazon Linux конкретные версии пакетов и рекомендации приведены выше.
При самостоятельной сборке ядра исправление включено в Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3. Команда CVE проекта Linux рекомендует переходить на последнюю стабильную версию ядра и отмечает, что сообщество разработчиков не поддерживает выборочное применение отдельных патчей.
Для Ubuntu, RHEL, отдельных вариантов Amazon Linux и SUSE устанавливаемого исправленного ядра на указанную дату ещё не было. В рекомендациях поставщиков и публикации Anthropic не сказано, уменьшит ли риск отключение MPTCP либо фильтрация входящих запросов на соединение с IP-опциями. Поэтому такие меры нельзя считать подтверждённой заменой обновлению: приоритетом остаются контроль версий ядра и установка поставляемого патча после его выхода.