Il bollettino pubblicato da Red Hat il 30 ottobre indica come interessati RHEL 8, 9 e 10 e Red Hat OpenShift Container Platform. La regola nftables proposta dall’azienda riduce l’esposizione, ma non sostituisce l’aggiornamento del kernel e può interrompere alcuni carichi di lavoro. La pagina CVE di Red Hat, consultata il 1° novembre, classifica la vulnerabilità come Critical, con un punteggio CVSS 3.1 di 9,8.
Red Hat filtra i pacchetti con opzioni IP
CVE-2026-98432 è un errore use-after-free nella gestione IPv4 TCP del kernel Linux: durante l’elaborazione concorrente di richieste TCP ritrasmesse o della migrazione dei socket, il kernel può accedere a memoria già liberata. Red Hat afferma che un attaccante remoto non autenticato può innescare la race condition senza privilegi né interazione dell’utente, ma deve riuscire a sincronizzare con precisione le operazioni. Tra gli esiti possibili figurano un arresto del sistema, la corruzione della memoria e, in determinate condizioni, l’esecuzione remota di codice. Red Hat descrive il difetto e la sua gravità nella scheda CVE.
Il bollettino del 30 ottobre, RHSB-2026-016, elenca RHEL 8, 9 e 10 e Red Hat OpenShift Container Platform tra i prodotti interessati. Segnala inoltre che potrebbero esserlo altri prodotti basati sul kernel RHEL.
La regola nftables indicata da Red Hat scarta i pacchetti TCP IPv4 in ingresso con opzioni IP, cioè con un’intestazione IPv4 più lunga dei 20 byte standard. Il filtro riduce l’esposizione al percorso vulnerabile, ma non impedisce completamente lo sfruttamento. Può anche interferire con carichi di lavoro legittimi: Red Hat lo presenta come misura temporanea, non come sostituto dell’installazione di un kernel corretto.
Amazon Linux segna come corrette le famiglie elencate
La pagina ufficiale di Amazon Linux, modificata il 30 ottobre, assegna alla vulnerabilità la valutazione Important e un punteggio CVSS 3.1 di 8,1. Nella stessa pagina risultano corrette le famiglie di kernel elencate per Amazon Linux 2: core ed Extras 5.4, 5.10 e 5.15. Per Amazon Linux 2023 lo stato Fixed riguarda il kernel predefinito e kernel6.12 e kernel6.18. Amazon riporta punteggio e stato dei pacchetti nel proprio tracker.
La dimostrazione con MPTCP non limita la falla a MPTCP
Anthropic ha riferito il 27 ottobre di aver prodotto una prova di concetto che raggiungeva l’esecuzione di comandi come root su un server Linux con un socket in ascolto MPTCP, cioè Multipath TCP. Nel test descritto da Anthropic, la fuga di un puntatore del kernel richiese 48 minuti; servirono altri cinque minuti per arrivare all’esecuzione di comandi shell. Sono tempi riportati per quella prova, non una misura valida per ogni possibile attacco. Anthropic ha pubblicato il resoconto della dimostrazione. NeoTeo aveva già raccontato le cinque catene di exploit riferite da Anthropic.
La dimostrazione usava MPTCP, ma il Go Security Team ha chiarito che il difetto sottostante non è specifico di quel protocollo e che potrebbero essere possibili percorsi d’attacco anche senza un listener MPTCP. Go 1.24 attiva MPTCP per impostazione predefinita sui socket Linux in ascolto. Disattivarlo in singole applicazioni è una misura fragile, secondo il team, che raccomanda invece un kernel aggiornato. Le indicazioni del Go Security Team spiegano sia il comportamento predefinito di Go sia i limiti di questa misura.
Le dichiarazioni di Sophos e OpenVPN riguardano i loro prodotti
Sophos ha confermato che Sophos Firewall è interessato. L’azienda ha precisato che MPTCP è disattivato sul firewall e che questo potrebbe ridurre il rischio; il team di ingegneria stava valutando le patch del kernel upstream per una futura versione di SFOS. La risposta del supporto Sophos non indica una data di rilascio della correzione.
OpenVPN afferma che nelle configurazioni standard di Access Server l’interfaccia web, i demoni OpenVPN e SSH usano TCP a percorso singolo, senza listener MPTCP. L’azienda considera trascurabile l’impatto su queste configurazioni standard, ma precisa che il kernel Linux dell’host può comunque essere vulnerabile e raccomanda di installare il kernel corretto della distribuzione e riavviare il sistema. OpenVPN descrive la configurazione e la raccomandazione per Access Server.
