2 listopada Aikido przypisało Marcusowi Hutchinsowi obserwację podejrzanego skanowania MPTCP związanego z CVE-2026-98432. Zgłoszone skanowanie nie oznacza potwierdzonej eksploatacji luki. Dla administratora najważniejsze pozostaje uruchomienie kernela z poprawką dostawcy: po instalacji trzeba ponownie uruchomić system i sprawdzić, jaka wersja faktycznie działa.

Co wynika ze zgłoszonego skanowania

Według Aikido skan Hutchinsa z 30 października wykazał około 2,1 mln serwerów osiągalnych przez MPTCP na porcie 443. To liczba serwerów dostępnych w tym trybie, a nie liczba systemów podatnych na CVE-2026-98432. Samo skanowanie nie stwierdza też, że doszło do włamania.

Luka jest błędem typu use-after-free, czyli użyciem pamięci po jej zwolnieniu, w obsłudze połączeń IPv4/TCP. Aikido podaje, że dotyczy ona kerneli Linux od wersji 4.4.

MPTCP z demonstracji nie wyznacza zakresu luki

Opisana przez Aikido demonstracja Anthropic wykorzystywała listener MPTCP, czyli punkt nasłuchujący połączeń w tym wariancie TCP. Aikido przytoczyło zarazem stanowisko Red Hat, że MPTCP nie jest konieczne, by wystąpił sam błąd. Wyłączenie MPTCP może ograniczyć jeden z opisanych sposobów ekspozycji, ale nie naprawia kernela.

Inne tymczasowe środki to filtrowanie pakietów IPv4/TCP zawierających opcje IP albo kończenie połączeń TCP na osobnym load balancerze. Żaden z nich nie zastępuje aktualizacji kernela. Osobne omówienie NeoTeo ograniczonej ochrony Red Hat przed CVE-2026-98432 opisuje jeden z takich środków.

Jak sprawdzić, czy poprawka działa

Zainstaluj kernel naprawiony przez dostawcę dystrybucji, uruchom system ponownie i wpisz uname -r. Wynik pokaże wersję działającego kernela. Porównaj ją z wersją poprawioną dla swojej dystrybucji: dostawcy mogą przenosić poprawki do własnych gałęzi, więc numer pakietu nie musi odpowiadać wersji upstream.

W przypadku kontenerów liczy się kernel węzła, na którym działają. Aktualizacja obrazu aplikacji nie aktualizuje kernela hosta.

Co prowadzący Linux Renaissance mówił o Debianie i Ubuntu

W komentarzu opublikowanym 3 listopada prowadzący Linux Renaissance twierdził, że Debian załatał lukę w ciągu 24 godzin, i krytykował wolniejsze udostępnianie zwykłych aktualizacji dla Ubuntu LTS. Odnosił tę ocenę do przypadku CVE-2026-98432.