Egy félelmetes biztonsági sebezhetőség a Linux kernel-ben lehetővé teheti a támadóknak, hogy teljesen átvegyék az érintett szerverek irányítását anélkül, hogy ismernék a jelszót, vagy rá kellene venniük valakit egy rosszindulatú hivatkozásra kattintásra. A helyzetet tovább rontja, hogy az Anthropic kutatói kimutatták: a mesterséges intelligencia képes működő exploitot készíteni, amely a hibát távoli root hozzáféréssé alakítja.

A CVE-2026-98432 azonosítót kapott sebezhetőség kritikus, 9,8-as súlyossági pontszámot kapott a 10-ből. Bár több nagy Linux disztribúció már megkapta a javításokat, Ubuntu 2026. november 1-jén még mindig sebezhető, az adminisztrátorok pedig tovább várnak, hogy a Canonical kiadja a javított kerneleket.

A hiba a Linux kernel IPv4 hálózati kódját érinti, azon belül is azt, ahogyan bizonyos TCP kapcsolatokat kezel. Ez különösen aggasztó, mert a TCP-t rengeteg internetes szolgáltatás használja, így a sebezhető kód elérhető még azelőtt, hogy bármelyik alkalmazás egyáltalán lehetőséget kapna a felhasználó hitelesítésére.

Az Atlas részletes biztonsági elemzése szerint a probléma a Linux kernel 4.4-es verziójáig nyúlik vissza. Egy memória-kezelési hibáról van szó, úgynevezett use-after-free sebezhetőségről, amikor a kernel már felszabadított memóriaterülethez próbál hozzáférni.

Megfelelő körülmények között speciálisan kialakított hálózati forgalom kihasználhatja ezt a viselkedést, és korrumpálhatja a kernel memóriáját, érzékeny információkat szivárogtathat ki, vagy összeomlaszthatja a rendszert. Egy sikeres távoli kódfuttatási támadás ennél is súlyosabb, mert akár teljes irányítást adhat a betolakodónak az operációs rendszer felett.

Anthropic: az MI-ből Linux rémálom lesz

A történet talán legijesztőbb része az Anthropic október 27-én közzétett biztonsági kutatásából derül ki. A cég beszámolója szerint egy még nem publikált, belső Claude kutatási modell működő exploitot fejlesztett, amely képes volt távolról root jogosultsággal parancsokat futtatni olyan Linux szervereken, ahol sebezhető Multipath TCP listener futott.

A root hozzáférés gyakorlatilag a legmagasabb jogosultsági szint egy Linux rendszeren. Aki ezt megszerzi, potenciálisan adatokat lophat, rosszindulatú szoftvert telepíthet, megzavarhatja a futó szolgáltatásokat, vagy teljesen kompromittálhatja a gépet.

Az Anthropic elmagyarázta, hogy a támadás két lépésben működik. Először az exploit kiiktat egy biztonsági védelmet, amelynek célja, hogy a kernel memóriacímeket nehéz legyen előre megjósolni. Ezután a sebezhetőséget úgy manipulálja, hogy a támadó által választott parancs root jogosultsággal fusson le.

Az Anthropic demonstrációjában az első fázis körülbelül 48 percig tartott, a második pedig további öt percet vett igénybe. Vagyis maga az exploit futása 53 percig tartott – ez nem az az idő, amíg Claude megírta az exploitot –, de jól mutatja, hogyan tud egy támadó türelmesen dolgozni azon, hogy átvegye az irányítást egy szerver felett.

Tovább növeli az aggodalmat, hogy a sikertelen próbálkozások nem feltétlenül döntik össze a célpontot. Így a támadó újra és újra megpróbálhatja kihasználni a sebezhető kapcsolatot, amíg végül teljesülnek a szükséges feltételek.

A bemutatott támadáshoz Multipath TCP listenert használtak, ezért félrevezető lenne azt állítani, hogy minden javítatlan Linux gépet automatikusan át lehet venni távolról. Maga a hiba azonban a szokásos IPv4 TCP feldolgozásban található, és a kutatók nem zárták ki, hogy más módon is ki lehessen használni.

Ubuntu felhasználók még mindig várnak a védelemre

Van jó hír is: a Linux kernel fejlesztők már kezelték az alapvető problémát. A javítócsomagok upstream elérhetők, és több disztribúció be is építette a javítást a támogatott kernel csomagjaiba.

Debian 12 és 13 már megkapta a javításokat, a Red Hat pedig november 1-jén kiadta a javított kerneleket az RHEL 8, 9 és 10 számára. Az Amazon Linux 2 és az Amazon Linux 2023 esetében is elérhetők a frissítések, bár az egyes rendszereken ezeket még telepíteni kell, majd újra kell indítani a gépet.

Ubuntu helyzete már kevésbé megnyugtató. A Canonical hivatalos sebezhetőségkövetője szerint Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS és 26.10 továbbra is sebezhetőként szerepel, a javítások még fejlesztés alatt állnak. Bár a RedHat is csak tegnap kezdte meg a javítások kiadását.

Ez különösen kellemetlen Ubuntu számára, tekintve a népszerűségét a felhőszolgáltatások, a vállalati környezetek és a webhoszting területén. Amíg a Canonical a frissítéseken dolgozik, az internet felé nyitott Ubuntu szerverekért felelős rendszergazdák nem dőlhetnek hátra abban a hitben, hogy rendszereik már védettek.

Közben több kerülő megoldás is szárnyra kapott, az egyik az iptables felől fogja meg a problémát:

iptables -D INPUT -p tcp -m u32 --u32 "0x0>>0x18&0xf=0x6:0xf" -j DROP

De van rá összetettebb, parancsfájl megoldás is itt és itt is. Amennyiben nem használod a multipath TCP funkciót, gyors kerülő megoldás lehet, ha letiltod:

sudo sysctl -w net.mptcp.enabled=0

Ez az a funkció, hogy egy szerver processz tudja folytatni a TCP-munkamenetet egy klienssel egy másik interfészen anélkül, hogy újra kéne csatlakoznia. Ezzel ellenőrizheted, hogy engedélyezve van-e:

cat /proc/sys/net/mptcp/enabled

Ha nincs bekapcsolva, „0”, akkor ezt most megúsztad.

További csavart jelentik a Go nyelven írt alkalmazások. A Go Security Team figyelmeztetett, hogy a Go 1.24-től kezdve Linuxon, ahol a Multipath TCP támogatott és engedélyezett, alapértelmezetten bekapcsolják a Multipath TCP-t a listen socketeknél, ami növelheti a kitettséget a bemutatott támadással szemben.

A Multipath TCP letiltása csökkentheti bizonyos kockázatokat, de nem szünteti meg az alapul szolgáló kernel sebezhetőséget. A valódi megoldás továbbra is a javított kernel telepítése, majd az újraindítás, hogy ténylegesen a javított kód fusson.

A nagyobb fenyegetés maga a mesterséges intelligencia lehet

Lényeges különbség van aközött, hogy egy biztonsági kutató fedez fel egy sebezhetőséget, vagy hogy egy MI-rendszer fejleszt ki olyan exploitot, amellyel fegyverként lehet használni. Az utóbbi arra utal, hogy a kifinomult támadások, amelyekhez korábban kiterjedt szaktudás kellett, idővel könnyebben és gyorsabban előállíthatóvá válhatnak.

Fontos hangsúlyozni, hogy az Anthropic ellenőrzött körülmények között, egy belső modellel végezte a kutatást, és a Linux exploitot nem tette közzé. Az Amazon Web Services szintén azt közölte, hogy nincs tudomása arról, hogy ezt a konkrét sebezhetőséget a gyakorlatban kihasználnák, ami egyelőre némi megnyugvást jelent.

A következmények azonban messze túlmutatnak a Linuxon. Az MI-rendszerek egyre alkalmasabbak arra, hogy összetett szoftvereket elemezzenek, gyengeségeket találjanak bennük, és olyan technikákat kombináljanak, amelyek több biztonsági védelmet is képesek megkerülni.

Nyilvánvaló előny, ha a biztonsági kutatók olyan erős eszközöket kapnak, amelyek segítenek sebezhetőségeket találni, mielőtt a bűnözők ráakadnának. A kellemetlen valóság viszont az, hogy a támadók idővel hasonló képességekhez juthatnak, ami sokkal veszélyesebbé teheti a versenyfutást a biztonsági hibák felfedezése és javítása között.

A Linux továbbra is kiváló operációs rendszer, és ez a sebezhetőség nem teszi a Windowst vagy a macOS-t önmagában biztonságosabbá. Minden nagy operációs rendszerben előfordulnak biztonsági problémák, de egy kritikus, távolról kihasználható kernel hiba azonnali figyelmet érdemel, függetlenül attól, milyen platformról van szó.

A Linux rendszergazdák számára, különösen azoknak, akik nyilvánosan elérhető Ubuntu szervereket üzemeltetnek, most az a legfontosabb, hogy ellenőrizzék az érintett kerneleket, felmérjék a hálózati kitettséget, és a lehető leghamarabb telepítsék a rendelkezésre álló frissítéseket. Mindenki más számára ez az eset nyugtalanító bepillantást ad egy olyan jövőbe, ahol az MI nemcsak a szoftverek megírásában segít, hanem abban is, hogyan lehet azokat szétbontani és megtámadni.