Am 2. November berichtete Aikido, der Sicherheitsforscher Marcus Hutchins habe verdächtige MPTCP-Sondierungen beobachtet. Für Betreiber zählt vor allem, dass der vom Anbieter korrigierte Kernel nicht nur installiert ist, sondern nach einem Neustart tatsächlich läuft.
Was die gemeldeten MPTCP-Scans aussagen
Aikido zufolge ergab ein Hutchins zugeschriebener Scan vom 30. Oktober rund 2,1 Millionen Server, die über MPTCP an Port 443 erreichbar waren. Diese Zahl beschreibt die Erreichbarkeit, nicht eine Zahl verwundbarer oder kompromittierter Systeme.
CVE-2026-98432 ist ein Use-after-free-Fehler in der IPv4-TCP-Verbindungsaufnahme des Linux-Kernels. Dabei greift der Kernel auf bereits freigegebenen Speicher zu. Aikido berichtet, dass die Schwachstelle seit Linux 4.4 vorhanden sei.
Die von Aikido beschriebene Exploit-Demonstration von Anthropic nutzte einen MPTCP-Listener. Red Hat zufolge, so Aikidos Darstellung, ist MPTCP für den zugrunde liegenden Fehler jedoch keine Voraussetzung. MPTCP abzuschalten kann daher die Angriffsfläche verringern, beseitigt den Kernel-Fehler aber nicht.
So prüfen Administratoren den laufenden Kernel
Installiere den vom Linux-Anbieter bereitgestellten Kernel mit Fehlerkorrektur und starte das System anschließend neu. Mit uname -r lässt sich die Version des laufenden Kernels anzeigen. Vergleiche sie mit der behobenen Paketversion deiner Distribution: Anbieter übernehmen Korrekturen häufig in eigene Kernelzweige, sodass deren Versionsnummer von der Upstream-Version abweichen kann.
Bei Containern ist der Kernel des Nodes entscheidend, auf dem sie laufen. Ein aktualisiertes Container-Image tauscht diesen Host-Kernel nicht aus. Auch ein Reverse-Proxy auf demselben Linux-Rechner schützt ihn nicht vor der TCP-Verbindungsaufnahme. Als Zwischenmaßnahme können Administratoren MPTCP deaktivieren, IPv4-TCP-Pakete mit IP-Optionen filtern oder TCP an einem separaten Load-Balancer beenden. Diese Schritte ersetzen das Kernel-Update nicht. NeoTeo hat auch Red Hats begrenzte Mitigation und den Amazon-Linux-Paketstand zu CVE-2026-98432 eingeordnet.
Was der Kommentar zu Debian und Ubuntu behauptet
Der Host des Kanals Linux Renaissance behauptete, Debian habe die Lücke innerhalb von 24 Stunden gepatcht, während Ubuntu LTS bei regulären Updates hinterhergehinkt habe. Diese Aussage bezog sich auf CVE-2026-98432 und stammt vom Host des Kanals.
