Дыру в ядре Linux с оценкой 9,8 закрыли не все дистрибутивы
Ошибка живёт в ядре с версии 4.4, то есть с января 2016 года, и затрагивает почти любой сервер, принимающий соединения по IPv4.
Фото: AlmaLinux
В ядре Linux нашли критическую уязвимость CVE-2026-98432, через которую можно удалённо получить права root на сервере. Команда ядра оценила её на 9,8 балла из 10. Исправление вышло в основной ветке ещё 5 октября, но на 30 октября готовых обновлений не было у Red Hat Enterprise Linux и Ubuntu.
Ошибку нашёл исследователь Anthropic Синьян Гэ. Это та самая уязвимость, для которой внутренняя модель компании сама написала рабочий эксплойт. По данным Anthropic, он позволяет удалённо выполнять команды от имени root на серверах, где включён MPTCP. Это протокол, который пускает одно соединение сразу по нескольким сетевым путям.
Как устроена ошибка
Проблема сидит в коде, который принимает входящие TCP-соединения по IPv4. Если запрос на соединение несёт дополнительные параметры IPv4, ядро может освободить память раньше времени и потом обратиться к ней снова. Такие ошибки называют use-after-free, и через них часто удаётся подменить данные в памяти.
Ошибка появилась в версии ядра 4.4 в январе 2016 года. Соединения по IPv6 основная проблема не затрагивает. Неудачная попытка атаки просто срывает одно соединение и не роняет сервер, поэтому атакующий может пробовать много раз.
Red Hat оценивает угрозу ниже, в 8,1 балла: компания считает атаку сложной в исполнении. Код эксплойта Anthropic не публиковала, и независимо воспроизвести атаку на 30 октября никто не сообщал.
Кто уже закрыл уязвимость
Исправленные ядра вышли в стабильных ветках 5.10, 5.15, 6.1, 6.6, 6.12, 6.18 и 7.2. Обновления уже выпустили Debian 12 и 13, Oracle для своего ядра UEK, часть сборок Amazon Linux 2023 и SUSE для большинства своих систем. Ubuntu 22.04, 24.04, 26.04 и 26.10 ещё готовят исправление, у RHEL 8, 9 и 10 даты нет. AlmaLinux выложила исправленные ядра для версий 8, 9 и 10 в тестовый репозиторий, не дожидаясь Red Hat.
По умолчанию MPTCP выключен в RHEL и совместимых с ним системах, но в основной ветке ядра он включён. Кроме того, программы на Go начиная с версии 1.24 по умолчанию открывают MPTCP-соединения. Команда безопасности Go предупредила, что сама ошибка не привязана к MPTCP и серверы без него тоже могут быть уязвимы к похожим атакам.
До выхода обновления AlmaLinux советует отбрасывать на межсетевом экране TCP-пакеты с параметрами IPv4 и отключить MPTCP командой sysctl -w net.mptcp.enabled=0. В компании подчёркивают, что это временная защита, а не исправление.
Источники: AlmaLinux — исправленные ядра и временная защита, TuxCare — разбор уязвимости и статус патчей в дистрибутивах
