Linux отримав виправлення критичної RCE-вразливості CVE-2026-98432 з оцінкою 9.8

Виправлення для use-after-free вразливості в реалізації IPv4 TCP у ядрі Linux стали доступними для Red Hat Enterprise Linux 8, 9 та 10. Водночас у дистрибутивах Ubuntu оновлення для трьох останніх LTS-релізів наразі розміщені лише в тестовому каналі -proposed без точної дати виходу в стабільний репозиторій.

Проблема відстежується як CVE-2026-98432 і може призвести до віддаленого виконання коду неавтентифікованим зловмисником. Команда CVE ядра Linux та компанія Red Hat оцінили небезпеку у 9,8 бала з 10 за шкалою CVSS, визначивши статус як критичний (спочатку Red Hat оцінювала її у 5,9 бала). Баг був присутній у ядрі починаючи з версії Linux 4.4, а апстрім-патч вийшов у жовтні.

Механіка вразливості

Під час прийняття сервером підключення IPv4 TCP ядро передає IP-опції з вхідного запиту до нового сокета без копіювання. Якщо клієнт повторно надсилає запит на встановлення з'єднання, поки інший процесор ще зчитує ці опції, ядро може звернутися до вже звільненої пам'яті.

Для створення стану перегонів (race condition) атакуючому достатньо надіслати запити на підключення з опціями IPv4 Record Route або Timestamp до будь-якого відкритого порту TCP. Авторизація для цього не потрібна. Основний мережевий стек IPv6 уразливості не містить.

Статус виправлень у дистрибутивах

Red Hat опублікувала оновлені ядра 1 листопада; для їх застосування потрібне перезавантаження:

• RHEL 8.10: версія 4.18.0-553.182.1.el8_10 (RHSA-2026:93414)
• RHEL 9.8: версія 5.14.0-687.64.1.el9_8 (RHSA-2026:93412)
• RHEL 10.2: версія 6.12.0-211.72.1.el10_2 (RHSA-2026:93413)

Canonical повідомила 2 листопада, що патчі для Ubuntu 22.04 LTS (ядро 5.15.0-203.213), 24.04 LTS (ядро 6.8.0-149.149) та 26.04 LTS (ядро 7.0.0-43.43) перебувають у кишені -proposed і не встановлюються автоматично. Компанія тестує оновлення ядра на понад 2000 сертифікованих серверах і пристроях перед публікацією в основних каналах. Для релізів 20.04, 18.04 та 16.04 патчі поки мають статус очікування (pending).

Раніше, у жовтні, виправлення для своїх систем випустили Debian, Oracle Linux та SUSE. Amazon Linux закрив уразливість у пакетах у період між 24 та 30 жовтня, оцінивши її на 8,1 бала як Important (із зазначенням аварійного завершення та потенційного пошкодження пам'яті як основних наслідків).

Тимчасові заходи захисту

30 жовтня Red Hat запропонувала правило nftables, яке скидає вхідні пакети IPv4 TCP з додатковими IP-опціями (ip hdrlength > 5). За даними компанії, це блокує відомий спосіб виклику стану перегонів, проте не гарантує повного захисту і може порушити роботу сервісів, залежних від IPv4-опцій. Крім того, у CIQ зазначили, що цей фільтр не захищає трафік між контейнерами на одному хості.

Canonical заявила, що відключення Multipath TCP (MPTCP), яке пропонувалося в деяких джерелах, не є достатнім, оскільки вразливість знаходиться в самому шляху IPv4 TCP, а єдиним належним захистом є оновлення ядра.

Стан експлуатації

Фактів реальних атак наразі не зафіксовано жодним CERT, вендором чи каталогом CISA KEV (станом на 30 жовтня). Водночас 27 жовтня компанія Anthropic повідомила, що її внутрішня дослідницька модель Claude створила експлойт віддаленого root-доступу проти серверів із підтримкою MPTCP без облікових даних і без участі користувача. Витік адреси ядра зайняв 48 хвилин, а отримання оболонки root — ще 5 хвилин. Anthropic не публікувала код експлойту. На GitHub з'явився лише PoC-код для запуску стану перегонів без реалізації виконання коду.