CVE-2026-98432 в ядре Linux: root через TCP и что обновить на сервере

В ядре Linux, начиная с версии 4.4, есть уязвимость CVE-2026-98432 в обработке TCP-соединений по IPv4. Разработчики ядра и Ubuntu оценивают её в 9.8 из 10. 27 октября Anthropic показала, что на сервере с включённым Multipath TCP она даёт удалённому атакующему права root без пароля. Debian уже выпустил исправленные ядра, Ubuntu на 30 октября ещё готовит пакеты. Если у вас VPS или выделенный сервер, проверьте ядро сегодня.

Что за уязвимость

Это use-after-free: ядро освобождает память с параметрами IP-опций соединения, пока другой процессор ещё её читает. Ошибка срабатывает на этапе TCP-рукопожатия, то есть до любой проверки пароля в приложении. Запись CVE опубликована 15 октября, исправление в основной ветке сделал Эрик Дюмазе. IPv6 первым вариантом ошибки не затронут, связанную проблему с миграцией запросов в IPv6 исправят отдельно.

27 октября Frontier Red Team компании Anthropic опубликовала разбор: модель Claude нашла ошибку и собрала цепочку до выполнения команд от root на сервере, который слушает соединения Multipath TCP (MPTCP). Проигранная гонка не роняет систему, а только обрывает рукопожатие, поэтому попытки можно повторять. Пошаговых деталей атаки мы не приводим.

Почему важен язык Go

Программы на Go начиная с версии 1.24 по умолчанию открывают слушающие сокеты на Linux с MPTCP. Это значит, что любой сервис на Go — API, прокси, панель мониторинга — может создать нужное для показанной атаки условие. 29 октября команда безопасности Go выпустила предупреждение. В нём два важных тезиса: лучшее решение — обновить ядро, а отключение MPTCP в отдельных программах — хрупкая временная мера, потому что сама ошибка не привязана к MPTCP.

Статус исправлений на 30 октября

Оценки расходятся: 9.8 у разработчиков ядра и Ubuntu, ниже у Red Hat, Oracle и Amazon. Разница в том, насколько сложной считают практическую эксплуатацию. Для владельца сервера вывод один: это не повод ждать, а повод поставить обновление в ближайшее окно.

Что сделать владельцу сервера

1. Узнайте версию ядра: uname -r. Сравнивайте не с номером из таблицы выше, а с бюллетенем своего дистрибутива: дистрибутивы переносят исправления в свои версии пакетов.
2. На Debian поставьте обновления из security-репозитория и перезагрузите сервер. Без перезагрузки новое ядро не заработает.
3. На Ubuntu и RHEL следите за страницами CVE у Ubuntu и Red Hat и ставьте пакет в день выхода.
4. Пока патча нет, проверьте сервисы на Go 1.24 и новее. Временно можно запустить их с GODEBUG=multipathtcp=0 или выключить MPTCP в ядре параметром net.mptcp.enabled=0.
5. Учтите, что временные меры снимают только показанное условие атаки, а не саму ошибку. После выхода ядра ставьте его в любом случае.
6. У облачного провайдера с управляемыми образами уточните, когда обновится их ядро и нужна ли от вас перезагрузка.

Ядро Linux в 2026 году получает исправления очень часто, мы уже писали про шесть уязвимостей ядра, отчёты о которых утекли до патчей. Если сервер некому обновлять по графику, это можно передать в поддержку серверов и VPS. Базовую проверку снаружи можно сделать бесплатным сканером на взлом.