A Red Hat classificou como crítica a falha TCP do kernel Linux CVE-2026-98432 e, em boletim publicado em 30 de outubro, identificou RHEL 8, 9 e 10 e Red Hat OpenShift Container Platform como afetados. A regra nftables que a empresa publicou pode reduzir a exposição, mas não impede totalmente a falha nem substitui a instalação de um kernel corrigido.

Na página da CVE consultada em 1º de novembro, a Red Hat atribuiu ao problema a classificação Critical e a nota CVSS 3.1 de 9,8. A falha é um uso após liberação: uma condição de corrida no tratamento de conexões TCP IPv4 pode fazer o kernel liberar opções de socket enquanto ainda estão em uso. Segundo a Red Hat, um ataque remoto não exige privilégios nem interação do usuário, mas depende de sincronização precisa. Os efeitos possíveis incluem falha do sistema, corrupção de memória e execução remota de código.

O que a regra nftables da Red Hat faz

A regra da Red Hat descarta pacotes TCP IPv4 de entrada que carregam opções no cabeçalho IP. Com isso, reduz a exposição ao caminho vulnerável, mas não elimina o risco. A empresa alerta que o filtro pode interromper cargas de trabalho necessárias e não substitui a correção do kernel. Administradores de RHEL e OpenShift devem tratar a regra como uma medida limitada, não como a solução definitiva. A Red Hat detalha o alcance e os limites da mitigação no boletim RHSB-2026-016.

Amazon Linux lista famílias de pacotes como corrigidas

Na página modificada em 30 de outubro, a Amazon classificou a falha como Important, com nota CVSS 3.1 de 8,1, e marcou como corrigidas as famílias de pacotes afetadas que lista. Elas incluem Amazon Linux 2 core e Extras 5.4, 5.10 e 5.15, além de Amazon Linux 2023 default, kernel6.12 e kernel6.18. A classificação e o estado se referem aos pacotes indicados pela Amazon, não a todas as distribuições Linux. A página oficial da Amazon Linux reúne a classificação e o status desses pacotes.

MPTCP foi usado na demonstração, mas não define o alcance da falha

A prova de conceito publicada pela Anthropic em 27 de outubro explorou um servidor Linux com um socket de escuta MPTCP e chegou à execução de comandos como root. A empresa relatou que, nesse teste, foram necessários 48 minutos para obter um ponteiro do kernel e mais cinco minutos para chegar à execução de comandos no shell. Esses tempos descrevem a demonstração da Anthropic, não um prazo geral para explorar sistemas. A NeoTeo já abordou as cinco cadeias de exploits descritas pela Anthropic.

MPTCP, ou Multipath TCP, permite usar múltiplos caminhos de rede numa conexão. Embora a demonstração da Anthropic tenha usado um listener MPTCP, o Go Security Team afirma que a falha do kernel não é específica desse protocolo e que ataques semelhantes podem ser possíveis sem um listener MPTCP. Desativar o recurso programa por programa é uma medida frágil, segundo a equipe, que recomenda instalar um kernel corrigido.

A partir do Go 1.24, sockets Linux de escuta habilitam MPTCP por padrão. A equipe documenta opções para desativar esse padrão em tempo de execução ou na compilação, mas configurações por socket podem prevalecer. Portanto, ajustar um programa Go pode alterar o uso de MPTCP naquele contexto, mas não corrige a falha no kernel.

O que Sophos e OpenVPN dizem sobre seus produtos

A Sophos confirmou em 30 de outubro que o Sophos Firewall é afetado. A empresa informou que MPTCP está desativado no produto e que isso pode reduzir o risco; também disse que sua equipe de engenharia avaliava correções upstream para uma futura versão do SFOS. A configuração reduz uma via de exposição, mas não elimina a vulnerabilidade do kernel. A resposta da Sophos descreve o estado do produto.

A OpenVPN afirma que instalações padrão do Access Server usam TCP de caminho único na interface web, nos daemons do OpenVPN e no SSH, sem listeners MPTCP. A empresa considera negligenciável o impacto para essa configuração padrão, mas alerta que o kernel do host ainda pode estar vulnerável e recomenda instalar o kernel corrigido pela distribuição e reiniciar o sistema. A orientação da OpenVPN trata especificamente do Access Server.