Red Hat opublikował 30 października 2026 r. komunikat o luce CVE-2026-98432, wymieniając jako podatne RHEL 8, 9 i 10 oraz Red Hat OpenShift Container Platform. Reguła filtrowania opisana w komunikacie może ograniczyć ekspozycję, ale nie zastępuje poprawki jądra. Na stronie CVE sprawdzonej 1 listopada Red Hat ocenia lukę jako krytyczną, z wynikiem CVSS 3.1 wynoszącym 9,8.
Co Red Hat zaleca do czasu instalacji poprawki
CVE-2026-98432 to błąd typu use-after-free w obsłudze IPv4/TCP w jądrze Linux. Występuje, gdy równoległe przetwarzanie ponawianych żądań połączenia TCP lub migracji gniazda może doprowadzić do zwolnienia opcji, z których jądro nadal korzysta. Red Hat podaje, że zdalny napastnik nie potrzebuje uprawnień ani interakcji użytkownika, ale wykorzystanie błędu wymaga precyzyjnego wyczucia czasu. Możliwe skutki obejmują awarię, uszkodzenie pamięci i zdalne wykonanie kodu.
W biuletynie RHSB-2026-016 z 30 października Red Hat opisał regułę nftables, która odrzuca przychodzące pakiety IPv4/TCP zawierające opcje IP. Według firmy zmniejsza to ekspozycję na podatną ścieżkę kodu, ale nie zapobiega w pełni wykorzystaniu luki i może zakłócić działanie obciążeń. Red Hat wskazuje instalację poprawionego jądra jako pełne rozwiązanie; filtrowanie go nie zastępuje. Po aktualizacji jądra regułę należy usunąć, zgodnie z biuletynem Red Hat.
Amazon Linux oznacza wskazane rodziny pakietów jako naprawione
Strona Amazon Linux Security Center zmodyfikowana 30 października oznacza jako naprawione wymienione rodziny pakietów Amazon Linux 2: core oraz Extras dla jąder 5.4, 5.10 i 5.15. W Amazon Linux 2023 status „Fixed” mają pakiety default, kernel6.12 i kernel6.18. Amazon ocenia lukę jako Important i podaje wynik CVSS 3.1 równy 8,1. Statusy pakietów i ocena Amazon Linux
MPTCP wystąpiło w demonstracji, ale nie określa całego zakresu luki
Anthropic poinformowało 27 października, że Claude wygenerował proof of concept, który osiągnął wykonanie polecenia z uprawnieniami roota na serwerze Linux z nasłuchującym gniazdem MPTCP. Firma opisała 48 minut potrzebnych w tej demonstracji na ujawnienie wskaźnika jądra oraz kolejnych pięć minut do wykonania polecenia powłoki. To wynik tego konkretnego testu, a nie stały czas potrzebny do wykorzystania luki. Opis demonstracji Anthropic
Go Security Team wyjaśnił, że błąd jądra nie jest specyficzny dla MPTCP i że podobne ataki mogą być możliwe także bez listenera MPTCP. Go 1.24 domyślnie włącza MPTCP dla linuksowych gniazd nasłuchujących. Zespół ostrzega, że wyłączanie go osobno w każdej aplikacji jest kruchym zabezpieczeniem, i zaleca aktualizację jądra. Wcześniejsze omówienie NeoTeo dotyczące łańcuchów exploitów opisanych przez Anthropic przedstawia szerszy kontekst badań firmy.
Co mówią Sophos i OpenVPN o swoich produktach
Sophos potwierdził 30 października, że Sophos Firewall jest podatny. Firma podała, że MPTCP jest w tym produkcie wyłączone, co może zmniejszać ryzyko, oraz że inżynierowie oceniali poprawki z głównej gałęzi jądra pod kątem przyszłego wydania SFOS. Informacja Sophos o CVE-2026-98432
OpenVPN podaje, że standardowe wdrożenia Access Server, w tym interfejs WWW, demony OpenVPN i SSH, używają zwykłych gniazd TCP z pojedynczą ścieżką, a nie listenerów MPTCP. Firma mimo to zaleca instalację poprawionego jądra dystrybucji i ponowne uruchomienie systemu, ponieważ jądro hosta może być podatne. Zalecenia OpenVPN dla Access Server
