De CVE-tracker van Ubuntu vermeldde op 5 november 2026 voor de generieke linux-kernels van 22.04, 24.04, 26.04 en 26.10 allemaal de status ‘Kwetsbaar, werk in uitvoering’. Op 3 november meldde Marcus Hutchins bovendien dat hij vanaf 2 november vermoedelijke MPTCP-scanactiviteit had gezien. Een doelversie in de tracker betekent niet dat die kernel al op een server draait.
De melding van Marcus Hutchins
Hutchins beschreef activiteit die volgens hem leek op scans door dreigingsactoren. Hij meldde dat het peilen op 2 november begon en verband hield met MPTCP-verkeer op poort 443. Zijn melding beschrijft vermoedelijke scans, geen aangetoonde inbraak.
Ubuntu-kernelstatus per release
De trackerstatus hieronder geldt voor het generieke pakket linux en is bijgewerkt op 5 november 2026. De vermelde versies zijn doelversies, geen bevestiging dat een server ze al gebruikt.
| Ubuntu-release | Doelversie generieke kernel | Trackerstatus op 5 november 2026 |
| 22.04 | 5.15.0-203.213 | Kwetsbaar, werk in uitvoering |
| 24.04 | 6.8.0-149.149 | Kwetsbaar, werk in uitvoering |
| 26.04 | 7.0.0-43.43 | Kwetsbaar, werk in uitvoering |
| 26.10 | 7.3.0-10.10 | Kwetsbaar, werk in uitvoering |
De Ubuntu-CVE-tracker vermeldt ook oudere releases: de generieke kernels voor Ubuntu 20.04, 18.04 en 16.04 staan als kwetsbaar; 14.04 staat als niet getroffen. Cloud-, HWE-, FIPS- en andere kernelvarianten hebben afzonderlijke vermeldingen en versies. De tabel geldt dus niet automatisch voor bijvoorbeeld linux-aws of linux-gcp.
Canonical maakte op 2 november bekend dat fixes voor Ubuntu 22.04, 24.04 en 26.04 in de optionele -proposed-pakketbron staan. Die testpakketten worden niet als gewone automatische updates geïnstalleerd. De aankondiging verandert de status van de generieke doelversies in de tracker niet: die stonden op 5 november nog op ‘Kwetsbaar, werk in uitvoering’ (Canonical).
Zo controleer je welke kernel actief is
Controleer eerst de Ubuntu-release en de kernelvariant op de server; vergelijk die vervolgens met de bijbehorende regel in de tracker. Na installatie moet de server opnieuw worden opgestart voordat de nieuwe kernel actief is. Controleer daarna met uname -r welke kernel daadwerkelijk draait. Een geïnstalleerd pakket alleen is daarvoor niet genoeg.
De Engelstalige linuxhint-video bevat een terminaldemonstratie met kernel- en systeemcontroles. De patchstatus die erin wordt besproken, dateert van eind oktober en gaat vooraf aan Canonicals aankondiging van 2 november.
De kwetsbaarheid zit in IPv4 TCP
CVE-2026-98432 is een use-after-free in de verwerking van IPv4 TCP-verbindingen: de kernel kan geheugen uitlezen nadat dit is vrijgegeven. De Ubuntu-tracker vermeldt een CVSS 3.1-score van 9,8, met de ernstgraad Kritiek.
Anthropic meldde een laboratoriumdemonstratie waarin een niet-uitgebracht, niet nader genoemd intern Claude-onderzoeksmodel een exploit met roottoegang maakte voor een Linux-server met een MPTCP-listener. Anthropic beschreef 48 minuten om een kerneladres te achterhalen en nog eens vijf minuten om een root-shell te bereiken. Die tijden horen bij de gemelde demonstratie; ze zijn geen algemene schatting van de tijd die een aanval kost (Anthropic).
MPTCP was onderdeel van de gedemonstreerde opstelling, maar de onderliggende fout zit in IPv4 TCP en is niet beperkt tot MPTCP. MPTCP uitschakelen neemt die fout dus niet weg.
