Marcus Hutchins meldde op 2 november activiteit die hij als vermoedelijke MPTCP-scans beschouwde. Voor Linux-beheerders blijft de praktische stap hetzelfde: installeer de door je distributie gepatchte kernel, herstart het systeem en controleer daarna welke kernel daadwerkelijk draait.
Wat de scanwaarneming inhield
Een scan die Hutchins op 30 oktober uitvoerde, vond volgens de berichtgeving ongeveer 2,1 miljoen servers die via MPTCP bereikbaar waren op poort 443. Dat cijfer beschrijft bereikbaarheid via MPTCP op die poort.
CVE-2026-98432 is een use-after-free in de verwerking van IPv4-TCP-verbindingen. Bij zo’n fout gebruikt software geheugen nadat het is vrijgegeven. De kwetsbaarheid is gemeld voor Linux-kernels vanaf versie 4.4; relevant is of een aanvaller een IPv4-TCP-poort kan bereiken waarop een dienst luistert.
MPTCP uitschakelen is geen kernelpatch
De door Anthropic beschreven exploitdemonstratie gebruikte een MPTCP-luistersocket. Aikido schrijft aan Red Hat het standpunt toe dat MPTCP niet nodig is om de onderliggende kwetsbaarheid te veroorzaken. MPTCP uitschakelen kan daarom blootstelling verminderen, maar verhelpt de fout niet.
De volledige oplossing is de door de Linux-distributie gepatchte kernel installeren en de machine opnieuw opstarten. Een distributie kan de correctie terugporteren naar een kernelpakket met een ander versienummer dan de upstream-kernel. Vergelijk daarom niet alleen met een upstream-versie.
Zo controleer je welke kernel draait
Voer na de herstart uname -r uit en vergelijk de uitvoer met de vaste pakketversie van jouw distributie en kernelvariant. Een update die al is geïnstalleerd, beschermt de machine pas nadat die kernel daadwerkelijk draait.
Bij containers is de kernel van de node waarop ze draaien bepalend; alleen de applicatie-image bijwerken verandert die hostkernel niet. In ons eerdere artikel over Red Hats beperkte maatregel voor dezelfde CVE lees je meer over een aanvullende maatregel.
De timingclaim over Debian en Ubuntu
De presentator van Linux Renaissance beweerde in commentaar dat op 3 november verscheen dat Debian deze CVE binnen 24 uur patchte en dat reguliere updates voor Ubuntu LTS achterliepen.
