Red Hat veröffentlichte am 30. Oktober einen Sicherheitshinweis zu CVE-2026-98432: RHEL 8, 9 und 10 sowie Red Hat OpenShift Container Platform sind betroffen. Eine nftables-Regel soll die Angriffsfläche verkleinern, behebt die Kernel-Schwachstelle aber nicht. Stand 1. November bewertet Red Hat sie als kritisch und führt einen CVSS-3.1-Wert von 9,8.Red Hats Sicherheitshinweis und CVE-Eintrag beschreiben die Gefahr und die Grenzen der Maßnahme.

Was Red Hats Filterregel leistet

Die Lücke ist ein Use-after-free in der IPv4-TCP-Verarbeitung des Linux-Kernels. Dabei greift der Kernel auf Speicher zu, der bereits freigegeben wurde. Red Hat beschreibt eine Race Condition, bei der sich die Verarbeitung erneut übertragener TCP-Verbindungsanfragen oder eine Socket-Migration überschneiden kann. Ein Angreifer kann die Schwachstelle aus der Ferne und ohne Zugangsdaten oder Nutzeraktion auslösen; dafür ist präzises Timing nötig.

Red Hat nennt Abstürze und Speicherbeschädigung als mögliche Folgen, außerdem sei Codeausführung möglich. Für einen zuverlässigen Weg zur Codeausführung sei präzise Kontrolle über den Heap erforderlich. Der hohe CVSS-Wert beschreibt die Schwere der Schwachstelle, nicht die Leichtigkeit eines verlässlichen Exploits.

Die nftables-Regel verwirft eingehende IPv4-TCP-Pakete mit IP-Optionen. Laut Red Hat verringert das die Exposition, verhindert die Schwachstelle aber nicht vollständig und kann Arbeitslasten stören. Die Regel ersetzt daher kein Update auf einen korrigierten Kernel.

Welche Amazon-Linux-Pakete als behoben gelten

Amazon Linux führt in seinem am 30. Oktober geänderten Sicherheitseintrag die genannten betroffenen Kernelpakete als behoben und bewertet die Schwachstelle mit Important und CVSS 3.1 8,1.Der Eintrag im Amazon Linux Security Center nennt diese Paketfamilien:

  • Amazon Linux 2: Core sowie Extras mit den Kernelversionen 5.4, 5.10 und 5.15.
  • Amazon Linux 2023: Standardkernel sowie kernel6.12 und kernel6.18.

MPTCP war Teil der Demonstration, nicht der Fehlerdefinition

Anthropic veröffentlichte am 27. Oktober einen Proof of Concept, der auf einem Linux-Server mit einem MPTCP-Listener Root-Befehle ausführen konnte. Anthropic berichtete, dass der Versuch 48 Minuten brauchte, um einen Kernel-Zeiger auszulesen, und weitere fünf Minuten bis zur Ausführung von Shell-Befehlen.Anthropics Beschreibung bezieht diese Zeiten auf den eigenen Proof of Concept. Eine frühere NeoTeo-Einordnung zu Anthropics Exploit-Ketten behandelt deren unterschiedliche Folgen.

Der Go Security Team zufolge ist die zugrunde liegende Kernel-Schwachstelle nicht auf MPTCP beschränkt; ähnliche Angriffe könnten auch ohne einen MPTCP-Listener möglich sein. Go 1.24 aktiviert MPTCP standardmäßig für Linux-Listen-Sockets. Das Team hält das Abschalten von MPTCP in einzelnen Anwendungen für eine fragile Maßnahme und empfiehlt einen korrigierten Kernel.Die Go-Sicherheitsmitteilung beschreibt auch Einstellungen, mit denen sich dieser Standard für Go-Programme deaktivieren lässt.

Was Sophos und OpenVPN zu ihren Produkten sagen

Sophos bestätigte am 30. Oktober, dass Sophos Firewall von CVE-2026-98432 betroffen ist. MPTCP sei auf der Firewall nicht aktiviert, was das Risiko verringern könne. Das Engineering prüfe Upstream-Patches für eine künftige SFOS-Version.Die Antwort des Sophos-Supports beschreibt damit eine produktspezifische Konfiguration, keine allgemeine Entwarnung für Linux-Systeme.

OpenVPN zufolge verwenden die üblichen Access-Server-Dienste, darunter Weboberfläche, OpenVPN-Daemons und SSH, herkömmliche TCP-Sockets ohne MPTCP. OpenVPN empfiehlt trotzdem, einen korrigierten Distributionskernel zu installieren und den Server neu zu starten, weil der Host-Kernel weiterhin anfällig sein kann.OpenVPNs Hinweis zu Access Server