A Linux kernel TCP kódjában talált hibát, amelyet CVE-2026-98432 azonosítóval követnek, érinti a Ubuntu-t, a Red Hat Enterprise Linuxot (RHEL) és más Linux disztribúciókat is. A kernel saját CVE-csapata 9,8/10-es CVSS pontszámot adott neki.

Az Anthropic október 27-én közölte, hogy a saját AI modellje olyan exploitot írt, amely a hibát kihasználva lehetővé teszi, hogy egy távoli, hitelesítés nélküli támadó root jogosultsággal parancsokat futtasson olyan Linux szervereken, ahol multipath TCP figyelő fut.

Október 29-ig Ubuntu és a RHEL még nem adtak ki javított kernel-t. A Red Hat, az Amazon, az Oracle és a SUSE 5,9 és 8,1 közé teszik a hiba súlyosságát, vagyis alacsonyabbra értékelik, mint a kernel csapat 9,8-as pontszámát.

A hiba versenyhelyzet az új IPv4 TCP kapcsolatok felépítéséért felelős kódban. Emiatt a kernel olyan memóriát is beolvashat, amit már felszabadított. Ezt a hibafajtát use-after-free néven ismerik.

A kernel-hoz készült javítás Xinyang Ge Anthropic-kutatót nevezi meg a hiba bejelentőjeként. Sem a CVE-leírás, sem a javítás nem említi a multipath TCP-t (MPTCP). A funkció és a hiba közötti kapcsolat az Anthropic bejegyzéséből derül ki.

Az MPTCP lehetővé teszi, hogy egyetlen kapcsolat egyszerre több hálózati útvonalat használjon. Linuxon az alkalmazásnak kifejezetten kérnie kell az MPTCP-t, amikor megnyit egy socketet.

Az Anthropic bejegyzése szerint a hibát „upstream javították, és visszaportolták minden karbantartott stabil kernel ágba”. A disztribúciók felhasználóihoz ez a javítás csak a gyártó kernel csomagján keresztül jut el. Debian, az Oracle Linux, a SUSE és az Amazon Linux már kiadtak javított csomagokat – legalább néhány kernelükhöz –, Ubuntu és a RHEL viszont még nem.

Mely Linux-disztribúciókhoz érhető el javítás?

A CVE-2026-98432 azonosítójú, súlyos Linux kernel-sebezhetőség javításainak állapota 2026. október 29-én az alábbiak szerint alakult.

Disztribúció	Gyártói súlyossági besorolás	Állapot 2026. október 29-én	Javított csomag vagy biztonsági közlemény
https://explore.alas.aws.amazon.com/CVE-2026-98432.htmlUbuntu 22.04 LTS, 24.04 LTS, 26.04 LTS és 26.10	Magas (High)	A javítás fejlesztés alatt áll	Még nem jelent meg
Ubuntu 16.04, 18.04 és 20.04	Magas (High)	Sérülékeny	Még nem jelent meg
Red Hat Enterprise Linux (RHEL) 8, 9 és 10; OpenShift 4	Közepes (Moderate), 5,9 pont; illetve fontos (Important), 8,1 pont	Érintett	Még nem jelent meg
Red Hat Enterprise Linux (RHEL) 7	Nem alkalmazható	Nem érintett	Nem szükséges
Amazon Linux 2023 – kernel6.18 csomag	Fontos (Important), 7,0 pont	Javítva: október 24.	kernel6.18-6.18.56-125.164.amzn2023 – ALAS2023-2026-3251
Amazon Linux 2023 – kernel6.12 csomag	Fontos (Important), 7,0 pont	Javítva: október 29. A gyártó CVE-oldala még függőben lévőként jelölte	kernel6.12-6.12.113-138.209.amzn2023 – ALAS2023-2026-3335
Amazon Linux 2; Amazon Linux 2023 – általános kernelcsomag	Fontos (Important), 7,0 pont	A javításra vár	Még nem jelent meg
Oracle Linux 7, 8, 9 és 10 – UEK kernel	Fontos (Important), 8,1 pont	Javítva: október 16.	ELSA-2026-500397, ELSA-2026-500398, ELSA-2026-500399
Debian 13 (Trixie, stabil)	Nincs megadott pontszám	Javítva: október 16.	linux 6.12.113-1 – DSA-6568-1
Debian 12 (Bookworm)	Nincs megadott pontszám	Javítva: október 17-én és október 22-én	linux 6.1.190-1 – DLA-4841-1; linux-6.12 6.12.113-1~deb12u1 – DLA-4850-1
SUSE Linux Micro 6.2; openSUSE Leap 16.0	Fontos (Important), 8,1 pont	Javítva	kernel-default 6.12.0-160000.40.1 vagy újabb verzió
SUSE Linux Enterprise Server (SLES) 15 SP4–SP6 LTSS; SLES 16.0; SLE Micro 5.3–5.5	Fontos (Important), 8,1 pont	Tesztelés alatt	Még nem jelent meg
SUSE Linux Enterprise Server (SLES) 15 SP7	Fontos (Important), 8,1 pont	Érintett, a javítás fejlesztés alatt áll	Még nem jelent meg

Fontos: A gyártói súlyossági besorolások eltérhetnek. A táblázatban szereplő állapotok a 2026. október 29-i helyzetet tükrözik, nem feltétlenül a jelenlegi állapotot. A javítás elérhetősége az egyes disztribúciókon belül a használt kernelcsomagtól és annak verziójától is függ.

Hogyan működik a hiba

A versenyhelyzet a TCP kézfogás során lép fel. Amikor létrejön a kapcsolat, a kernel a függőben lévő kéréshez tárolt IP opciókat másolás nélkül átadja az új socketnek.

Ha ezt a socketet törlik, miközben egy másik CPU még mindig ezeket az opciókat használja egy újraküldött kapcsolatkérés megválaszolásához, a kernel felszabadított memóriát olvas.

IPv6 esetén nem jelentkezik ez a versenyhelyzet, mert a kernel IPv6-kapcsolatoknál lemásolja az opciókat.

A hibát a Linux 4.4-ben vezették be. A kernel fejlesztői október 5-én alkalmazták a javítást, tíz nappal a CVE közzététele előtt. A javítás megvárja, amíg a többi CPU befejezi az opciók olvasását, mielőtt felszabadítaná őket.

Miért térnek el a pontszámok

A kernel CVE-csapata október 24-én, kilenc nappal a CVE közzététele után adta hozzá a 9,8-as pontszámot a CVE-rekordhoz. A pontszám olyan támadót feltételez, aki TCP kapcsolatkérést küld IPv4 Record Route vagy Timestamp opciókkal, majd újraküldi a kérést, hogy megpróbálja megnyerni a versenyhelyzetet. A csapat alacsonynak értékelte a támadás összetettségét, mert a verseny mindkét oldalát „a támadó idézi elő”.

Ilyen esetben – írja a csapat – a hiba visszaküldheti a támadónak a kernel közelében lévő memóriát, módosíthatja a kernel memóriáját, vagy összeomlaszthatja a rendszert.

Október 28-án a National Vulnerability Database (NVD) még nem adott saját pontszámot, és a kernel csapat 9,8-as értékét mutatta. A Ubuntu adatlapja is ezt a pontszámot jelzi.

A Red Hat CVE-oldala Közepesnek minősíti a hibát, 5,9-es pontszámmal, arra hivatkozva, hogy a versenyhelyzetet nehéz kihasználni. A lehetséges következmények közül a legvalószínűbbnek a kernel összeomlását tartja, elméletben memóriakorrupcióval, és azt írja, hogy „semmilyen bizalmassági vagy integritási hatást nem sikerült kimutatni”.

A Red Hat géppel feldolgozható tanácsadó fájlja, amelyet október 29-én frissítettek, a hatást már Fontosnak sorolja be, és 8,1-re értékeli a hibát, magas bizalmassági és integritási hatással. A Red Hat hibakövetője ugyanazon a napon közepesről magasra emelte a probléma súlyosságát. Aznap a CVE-oldalon még Közepes és 5,9 szerepelt.

Az Oracle és a SUSE is 8,1-re értékeli a hibát, ugyanazzal a CVSS vektorral, mint a Red Hat tanácsadó fájlja. Ezek az értékek minden metrikában megegyeznek a kernel csapat pontszámaival, kivéve a támadás összetettségét: a gyártók ezt magasnak, a kernel csapat alacsonynak minősíti. Az Amazon 7,0-ra értékeli a hibát.

Mit állít az Anthropic

Az Anthropic október 27-i bejegyzésében írta le a Linux exploitot, amelyben azokról a hibákról számolt be, amelyeket Claude nevű AI modellje talált és használt ki. Az Anthropic szerint Claude az „első utasítások” után írta meg az exploitot.

Az exploit két lépésben működik. Először a versenyhelyzet miatt a kernel extra bájtokat küld vissza a támadónak. Amint az egyik válasz tartalmaz egy kernel címet, a támadó meg tudja kerülni a KASLR-t, vagyis a kernel memória-címrandomizációját.

Második lépésben ugyanaz a hiba túlcsordít egy puffert, és felülír egy callback mutatót egy olyan payload címével, amelyet a támadó már elhelyezett a kernel memóriájában. Amikor a kernel meghívja ezt a mutatót, a payload root jogosultsággal hajt végre egy tetszőleges shell parancsot.

Ha a támadó elveszíti a versenyt, csak az adott kapcsolódási kísérlet bukik el, a rendszer nem omlik össze, így újra és újra próbálkozhat – írja a cég. A tesztjükben egy kernel cím kiszivárogtatása 48 percig tartott, a parancsvégrehajtás eléréséhez pedig további 5 percre volt szükség.

A bejegyzés nem tartalmazza az exploit kódját, a kernel verzióját és az Anthropic által használt konfigurációt sem.

A Red Hat szerint egy távoli támadó, aki elér egy nyitott TCP szolgáltatást, képes lehet kiváltani a versenyhelyzetet. Az Anthropic root exploitja viszont olyan szervereket célzott, ahol multipath TCP figyelő futott. A bejegyzés nem tér ki arra, hogy a multipath TCP nélküli szerverek ugyanígy átvehetők-e.

Október 29-ig sem a gyártói biztonsági közlemények, sem a CVE-adatlap, sem az Anthropic bejegyzése nem számolt be arról, hogy a hibát támadók aktívan kihasználnák. Nem szerepel a CISA Known Exploited Vulnerabilities katalógusának abban a másolatában sem, amelyet Luxemburg CIRCL csapata október 28-án frissített utoljára.

Mit tegyünk most?

Ha a disztribúció már kiadta a javított kernel-t, telepítsd. A fenti táblázat felsorolja a Debian, az Oracle Linux, a SUSE és az Amazon Linux csomagjait és biztonsági közleményeit.

Ha saját kernel-t fordítasz, a javítás bekerült az 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 és 7.3-as Linux verziókba. A kernel CVE-csapata azt javasolja, hogy frissíts a legújabb stabil kernel-ra. Azt is hangsúlyozzák, hogy a kernel közösség nem támogatja az egyes javítások külön-külön történő átvételét.

A Ubuntu, az RHEL, valamint néhány Amazon Linux és SUSE kiadás esetében még nincs elérhető, javított kernel, amit telepíteni lehetne. A Red Hat szerint jelenleg nincs olyan kerülőmegoldás, amely egyszerre lenne könnyen bevezethető, a legtöbb telepítéshez megfelelő és stabil. A többi gyártói közlemény sem sorol fel ilyet.

Sem a biztonsági közlemények, sem az Anthropic bejegyzése nem tér ki arra, hogy a multipath TCP kikapcsolása, vagy az IP opciókat tartalmazó bejövő kapcsolatkérések tiltása csökkentené-e a kockázatot.