CVE-2026-98432 — уязвимость в том, как ядро Linux принимает запросы на TCP-соединение. Она позволяет удалённому злоумышленнику без пароля вызвать сбой сервера или повредить память ядра. Команда CVE ядра Linux оценивает её в 9,8 балла из 10, а Anthropic сообщает, что её модель Claude написала эксплойт, который даёт злоумышленнику права root на серверах, принимающих соединения MPTCP. Исправление уже есть в основном ядре, и Debian его выпустил, но на 30 октября 2026 года Ubuntu помечает его как "work in progress" (в работе) для 22.04, 24.04 и 26.04, а Red Hat указывает RHEL 8, 9 и 10 как уязвимые и без обновления. Пока обновление не вышло: отключите MPTCP, если он вам не нужен, блокируйте пакеты IPv4 с IP-опциями, ограничьте круг тех, кто может достучаться до ваших серверов, и запланируйте перезагрузку.

Что такое CVE-2026-98432 и почему это важно для вашей компании?

Согласно официальной записи CVE, уязвимость возникает в момент завершения TCP-рукопожатия по IPv4: ядро передаёт новому соединению IP-опции, сохранённые вместе с запросом на соединение, не копируя их, а другой процессор может в этот же момент обработать повторный запрос и собрать ответ из этих опций. Если ядро сначала освободит память, то затем прочитает её уже после освобождения — это ошибка, известная как use-after-free. Уязвимость существует с ядра 4.4. Команда CVE ядра опубликовала её 15 октября 2026 года и оценила в 9,8 балла из 10, потому что она достижима по сети, во время рукопожатия и до какого-либо входа в систему, без участия пользователя.

В публикации от 27 октября Anthropic сообщила, что Claude написал эксплойт, позволяющий удалённому злоумышленнику без учётных данных выполнять команды от имени root на серверах Linux, которые принимают соединения MPTCP, то есть многопутевого TCP. В её тесте эксплойту понадобилось 48 минут, чтобы получить адрес из памяти ядра, а затем 5 минут, чтобы дойти до выполнения команд. Хуже того, неудачная попытка не приводит к сбою сервера: обрывается только это соединение, поэтому злоумышленник может пробовать снова и снова, и никто этого не заметит. Сам эксплойт Anthropic не опубликовала.

Red Hat называет главным последствием сбой сервера и отказ в обслуживании, с возможным повреждением памяти. В выпуске от 30 октября каталога известных эксплуатируемых уязвимостей CISA этой уязвимости ещё не было.

Дошло ли обновление до вашего дистрибутива?

Вот статус на официальной странице каждого дистрибутива на 30 октября 2026 года:

ДистрибутивСтатус
Ubuntu 22.04, 24.04, 26.04 и 26.10Уязвим, исправление "work in progress" (в работе); для 24.04 — в ядре 6.8.0-149 (страница Ubuntu)
Ubuntu 16.04, 18.04 и 20.04Уязвим
Red Hat Enterprise Linux 8, 9 и 10Уязвим, обновление не выпущено (страница Red Hat)
Red Hat Enterprise Linux 6 и 7Не затронут
Debian 12 и 13Исправлено в 6.1.190-1 и 6.12.113-1 (трекер Debian)

В основном ядре исправление вышло в версиях 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3. Но большинство серверов работает на ядре своего дистрибутива, поэтому значение имеет страница вашего дистрибутива, а не номер версии основного ядра.

Как понять, уязвим ли сервер?

Выполните эти команды на каждом сервере Linux, который принимает соединения из интернета:

uname -r
cat /proc/sys/net/mptcp/enabled
ss -Mln
cat /proc/sys/net/ipv4/tcp_migrate_req
  • Первая выводит версию ядра; сравните её со страницей вашего дистрибутива. В Ubuntu 24.04, например, все доступные сегодня версии ещё не исправлены.
  • Значение 1 во второй означает, что MPTCP включён; согласно документации ядра, это значение по умолчанию.
  • Третья показывает службы, которые принимают соединения MPTCP. Любая служба в этом списке — именно тот тип цели, который атаковала Anthropic. Обратите внимание на программы на Go: согласно примечаниям к выпуску Go 1.24, их слушающие сокеты теперь по умолчанию используют MPTCP там, где он поддерживается.
  • Четвёртая должна вывести 0; согласно записи CVE, второй путь уязвимости работает, только когда значение равно 1.

Временное решение до выхода обновления: 5 шагов

  1. Если в вашем дистрибутиве исправление уже есть, установите его сейчас и перезагрузитесь. Например, в Debian 12 и 13: 
    sudo apt update && sudo apt upgrade
sudo reboot
    Новое ядро не защищает вас, пока сервер на нём не работает.
  2. Отключите MPTCP, если он не нужен ни одной службе. Это закрывает тот тип цели, который атаковала Anthropic: 
    sudo sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" | sudo tee /etc/sysctl.d/99-disable-mptcp.conf
    Первая команда применяет настройку сразу, вторая сохраняет её после перезагрузки. В документации ядра сказано, что настройка действует отдельно для каждого сетевого пространства имён, поэтому примените её и внутри контейнеров. Программы на Go автоматически переходят на обычный TCP, когда MPTCP недоступен. Но ни Anthropic, ни один дистрибутив не утверждает, что отключение устраняет саму уязвимость, поэтому оно сужает риск, а не лечит его.
  3. Блокируйте TCP-пакеты с опциями IPv4. Сценарий оценки в записи CVE предполагает злоумышленника, который отправляет запрос на соединение с опцией IPv4 Record Route или Timestamp, а обычному веб-трафику, почте и SSH эти опции не нужны. Попросите сетевого администратора добавить правило межсетевого экрана, которое отбрасывает входящие TCP-пакеты с заголовком IPv4 длиннее 20 байт, и сначала проверьте его на одном сервере. Ни один дистрибутив не говорит, что это блокирует уязвимость, но так вы убираете условие, на котором построена оценка.
  4. Ограничьте круг тех, кто может достучаться до ваших серверов. Уязвимости нужен открытый TCP-порт, принимающий соединения, поэтому закройте все порты, которые вам не нужны, а SSH и панели администрирования оставьте доступными только с определённых IP-адресов или через VPN. Если сайт стоит за посредником, например CDN, разрешите исходному серверу принимать соединения только с адресов этой службы.
  5. Подготовьте обновление заранее. Следите за страницами Ubuntu и Red Hat по этой CVE, заранее одобрите обновление ядра и назначьте окно для перезагрузки, чтобы исправление установили в день выхода. Следите в журнале ядра за сбоями с упоминанием ip_options_build: 
    sudo journalctl -k | grep -i ip_options_build
    Однако спокойный журнал не означает безопасности, ведь неудачная попытка не приводит к сбою сервера.

А если ваши серверы находятся у хостинг-провайдера?

На виртуальном хостинге и в управляемых сервисах ядро принадлежит провайдеру, а не вам. Задайте ему три вопроса: какой дистрибутив и какая версия ядра стоят на его серверах, когда он установит исправление и что делает до тех пор, чтобы снизить риск. На виртуальном выделенном сервере (VPS) ядро обычно находится в ваших руках, поэтому выполните шаги выше сами.

Взгляд Origami

Как и в нашей статье об уязвимостях PHP, когда официальное обновление запаздывает, в первые дни серверы защищают именно временные шаги. Но они лишь сужают риск; единственное лечение — исправленное ядро после перезагрузки. В Origami мы можем проверить ваши серверы Linux, применить временные шаги без остановки ваших сервисов и установить исправление сразу после его выхода. Свяжитесь с нами.

Главное

  • CVE-2026-98432 — уязвимость ядра Linux с оценкой 9,8 балла из 10 от команды ядра, позволяющая атаковать сервер удалённо во время TCP-рукопожатия, до какого-либо входа в систему.
  • Debian уже выпустил исправление, а Ubuntu и Red Hat на 30 октября 2026 года ещё нет.
  • Пока они его не выпустили: отключите MPTCP, если он вам не нужен, блокируйте TCP-пакеты с опциями IPv4 и закройте неиспользуемые порты.
  • Установите исправленное ядро сразу после выхода и перезагрузитесь; временные шаги его не заменяют.

Источники