CVE-2026-98432 adalah celah pada cara kernel Linux menerima permintaan koneksi TCP. Celah ini memungkinkan penyerang jarak jauh, tanpa kata sandi, membuat server mogok atau merusak memori kernel. Tim CVE kernel Linux memberinya skor 9,8 dari 10, dan Anthropic menyatakan model Claude miliknya menulis eksploit yang memberi penyerang akses root di server yang menerima koneksi MPTCP. Perbaikannya sudah ada di kernel utama dan Debian sudah merilisnya, tetapi per 30 Oktober 2026 Ubuntu mencantumkannya sebagai "work in progress" (sedang dikerjakan) untuk 22.04, 24.04, dan 26.04, sementara Red Hat mencantumkan RHEL 8, 9, dan 10 sebagai terdampak tanpa pembaruan. Sampai pembaruan tiba: nonaktifkan MPTCP jika tidak Anda perlukan, blokir paket IPv4 yang membawa opsi IP, batasi siapa saja yang bisa menjangkau server Anda, dan jadwalkan reboot.

Apa itu CVE-2026-98432, dan mengapa penting bagi perusahaan Anda?

Menurut catatan CVE resmi, celah ini berada pada saat handshake TCP melalui IPv4 selesai: kernel menyerahkan opsi IP yang disimpan bersama permintaan koneksi kepada koneksi baru tanpa menyalinnya, sementara CPU lain pada saat yang sama bisa memproses permintaan duplikat dan menyusun balasan dari opsi tersebut. Jika kernel lebih dulu membebaskan memori itu, kernel kemudian membacanya setelah dibebaskan, sebuah bug yang dikenal sebagai use-after-free. Celah ini sudah ada sejak kernel 4.4. Tim CVE kernel memublikasikannya pada 15 Oktober 2026 dan memberinya skor 9,8 dari 10 karena celah ini bisa dijangkau lewat jaringan, saat handshake dan sebelum login apa pun, tanpa interaksi pengguna.

Dalam tulisan pada 27 Oktober, Anthropic menyatakan Claude menulis eksploit yang memungkinkan penyerang jarak jauh tanpa kredensial menjalankan perintah sebagai root di server Linux yang menerima koneksi MPTCP, atau TCP multijalur. Dalam pengujiannya, eksploit itu butuh 48 menit untuk membocorkan sebuah alamat dari memori kernel, lalu 5 menit untuk mencapai eksekusi perintah. Lebih buruk lagi, percobaan yang gagal tidak membuat server mogok; hanya koneksi itu yang gagal, sehingga penyerang bisa terus mencoba tanpa ada yang menyadarinya. Anthropic tidak memublikasikan eksploit itu sendiri.

Red Hat menggambarkan dampak utamanya sebagai server mogok dan penolakan layanan, dengan kemungkinan kerusakan memori. Per edisi 30 Oktober katalog kerentanan CISA yang diketahui telah dieksploitasi, celah ini belum dimasukkan.

Apakah pembaruan sudah sampai ke distribusi Anda?

Berikut status yang ditampilkan halaman resmi setiap distribusi pada 30 Oktober 2026:

DistribusiStatus
Ubuntu 22.04, 24.04, 26.04, dan 26.10Rentan, perbaikan "work in progress" (sedang dikerjakan); untuk 24.04 di kernel 6.8.0-149 (halaman Ubuntu)
Ubuntu 16.04, 18.04, dan 20.04Rentan
Red Hat Enterprise Linux 8, 9, dan 10Terdampak, belum ada pembaruan (halaman Red Hat)
Red Hat Enterprise Linux 6 dan 7Tidak terdampak
Debian 12 dan 13Diperbaiki di 6.1.190-1 dan 6.12.113-1 (pelacak Debian)

Di kernel utama, perbaikannya dirilis pada versi 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, dan 7.3. Namun sebagian besar server menjalankan kernel dari distribusinya, jadi yang menentukan adalah halaman distribusi Anda, bukan nomor versi kernel utama.

Bagaimana mengetahui apakah sebuah server terpapar?

Jalankan perintah berikut di setiap server Linux yang menerima koneksi dari internet:

uname -r
cat /proc/sys/net/mptcp/enabled
ss -Mln
cat /proc/sys/net/ipv4/tcp_migrate_req
  • Perintah pertama menampilkan versi kernel; bandingkan dengan halaman distribusi Anda. Di Ubuntu 24.04, misalnya, semua versi yang tersedia hari ini belum diperbaiki.
  • Nilai 1 dari perintah kedua berarti MPTCP aktif, yang merupakan pengaturan bawaan menurut dokumentasi kernel.
  • Perintah ketiga menampilkan daftar layanan yang menerima koneksi MPTCP. Setiap layanan yang muncul adalah jenis sasaran yang dieksploitasi Anthropic. Perhatikan program yang ditulis dengan Go: menurut catatan rilis Go 1.24, listener program tersebut kini memakai MPTCP secara bawaan jika didukung.
  • Perintah keempat seharusnya menampilkan 0; menurut catatan CVE, jalur kedua celah ini hanya berfungsi jika nilainya 1.

Solusi sementara sampai pembaruan tiba: 5 langkah

  1. Jika distribusi Anda sudah punya perbaikannya, pasang sekarang dan lakukan reboot. Misalnya di Debian 12 dan 13: 
    sudo apt update && sudo apt upgrade
sudo reboot
    Kernel baru tidak melindungi Anda sampai server benar-benar berjalan dengannya.
  2. Nonaktifkan MPTCP jika tidak ada layanan yang membutuhkannya. Ini menutup jenis sasaran yang dieksploitasi Anthropic: 
    sudo sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" | sudo tee /etc/sysctl.d/99-disable-mptcp.conf
    Perintah pertama langsung menerapkan pengaturan; perintah kedua mempertahankannya setelah reboot. Dokumentasi kernel menyebut pengaturan ini berlaku per namespace jaringan, jadi terapkan juga di dalam kontainer. Program Go otomatis kembali ke TCP biasa jika MPTCP tidak tersedia. Namun baik Anthropic maupun distribusi mana pun tidak menyatakan bahwa menonaktifkannya menghilangkan celah itu sendiri, jadi langkah ini mempersempit risiko, bukan menyembuhkannya.
  3. Blokir paket TCP yang membawa opsi IPv4. Skenario penilaian dalam catatan CVE mengasumsikan penyerang yang mengirim permintaan koneksi dengan opsi IPv4 Record Route atau Timestamp, padahal lalu lintas web, email, dan SSH biasa tidak membutuhkan opsi tersebut. Mintalah administrator jaringan Anda membuat aturan firewall yang membuang paket TCP masuk dengan header IPv4 lebih dari 20 byte, dan uji dulu di satu server. Tidak ada distribusi yang menyatakan langkah ini memblokir celahnya, tetapi langkah ini menghilangkan kondisi yang diasumsikan dalam penilaian.
  4. Batasi siapa saja yang bisa menjangkau server Anda. Celah ini membutuhkan port TCP terbuka yang menerima koneksi, jadi tutup setiap port yang tidak Anda perlukan, dan biarkan SSH serta panel admin hanya bisa diakses dari alamat IP tertentu atau melalui VPN. Jika situs berada di balik perantara seperti CDN, atur server asal agar hanya menerima koneksi dari alamat layanan tersebut.
  5. Siapkan pembaruan sebelum tiba. Pantau halaman Ubuntu dan Red Hat untuk CVE ini, setujui pembaruan kernel lebih awal, dan tetapkan jadwal reboot, agar perbaikan terpasang pada hari yang sama saat dirilis. Pantau log kernel untuk crash yang menyebut ip_options_build: 
    sudo journalctl -k | grep -i ip_options_build
    Namun log yang tenang tidak berarti aman, karena percobaan yang gagal tidak membuat server mogok.

Bagaimana jika server Anda ada di penyedia hosting?

Pada shared hosting dan layanan terkelola, kernel adalah milik penyedia, bukan milik Anda. Ajukan tiga pertanyaan: distribusi dan versi kernel apa yang dipakai server mereka, kapan mereka akan memasang perbaikannya, dan apa yang mereka lakukan untuk mengurangi risiko sampai saat itu. Pada server pribadi virtual (VPS), kernel biasanya ada di tangan Anda, jadi terapkan sendiri langkah-langkah di atas.

Pandangan Origami

Seperti dalam artikel kami tentang kerentanan PHP, saat pembaruan resmi terlambat, langkah sementara inilah yang melindungi server pada hari-hari pertama. Namun langkah tersebut hanya mempersempit risiko; satu-satunya obat adalah kernel yang sudah diperbaiki setelah reboot. Di Origami, kami bisa memeriksa server Linux Anda, menerapkan langkah sementara tanpa mengganggu layanan Anda, dan memasang perbaikan begitu dirilis. Hubungi kami.

Poin penting

  • CVE-2026-98432 adalah celah kernel Linux dengan skor 9,8 dari 10 dari tim kernel, yang menyerang server dari jarak jauh saat handshake TCP, sebelum login apa pun.
  • Debian sudah merilis perbaikannya; Ubuntu dan Red Hat belum per 30 Oktober 2026.
  • Sampai mereka merilisnya: nonaktifkan MPTCP jika tidak Anda perlukan, blokir paket TCP dengan opsi IPv4, dan tutup port yang tidak Anda gunakan.
  • Pasang kernel yang sudah diperbaiki begitu dirilis lalu lakukan reboot; langkah sementara bukan penggantinya.

Sumber