Изследователи по сигурността идентифицираха критичен дефект в мрежовия стек на Linux ядрото, проследяван като CVE-2026-98432. Проблемът позволява на отдалечени нападатели без предварителна автентикация да изпълняват команди с най-високи права (root) върху сървъри с активни MPTCP слушатели. За българските компании, разчитащи на Linux за своите уеб услуги, бази данни и вътрешна инфраструктура, проблемът налага спешна инвентаризация и прилагане на наличните защитни мерки.
Какво представлява CVE-2026-98432
Уязвимостта засяга кода за обработка на IPv4 TCP мрежови връзки в ядрото. Според техническото предупреждение на екипа на Linux става въпрос за състояние на надпревара (race condition) при обработката на заявки за свързване, което води до грешка от тип use-after-free (освобождаване и последващо некоректно използване на памет). По-конкретно проблемът се проявява във функцията tcp_v4_syn_recv_sock(), където се прехвърля собственост върху структури от данни без тяхното копиране, както и при миграция на TCP заявки.
От Red Hat първоначално оценяват сложността на експлоатация като висока и класифицират дефекта с по-нисък рейтинг от 5.9, разглеждайки го предимно като заплаха за срив на системата (Denial of Service - DoS). Изследователите от Anthropic обаче демонстрираха практически работещ сценарий за отдалечено изпълнение на код (Remote Code Execution - RCE). Чрез използване на експериментален AI модел Claude те разработиха експлойт, който успява да заобиколи защитния механизъм KASLR (Kernel Address Space Layout Randomization) и за около 53 минути придобива пълен контрол като root върху сървър, изпълняващ слушател за Multipath TCP (MPTCP).
Важно за мрежовите услуги: MPTCP (Multipath TCP) позволява на една връзка да използва паралелни мрежови пътища. Макар че рядко се пуска ръчно в стандартни услуги, от версия Go 1.24 езикът за програмиране активира MPTCP по подразбиране за мрежови слушатели под Linux, ако ядрото го поддържа. Това означава, че съвременни приложения, писани на Go, могат неволно да изложат сървъра на риск.
Кои системи и дистрибуции са засегнати
Дефектът присъства в Linux ядра още от версия 4.4 насам. Въпреки че публичната демонстрация за отдалечен root контрол изисква активен MPTCP слушател, базовият проблем засяга и стандартните TCP връзки.
- Ubuntu: Версии 22.04 LTS, 24.04 LTS, 26.04 LTS и 26.10 са идентифицирани като засегнати, като към края на октомври корекциите са в процес на подготовка.
- Red Hat Enterprise Linux (RHEL): RHEL 8, 9 и 10 са уязвими, като се планират бъдещи пакети с поправки. По-старата версия RHEL 7 не съдържа засегнатия код и е в безопасност.
- Rocky Linux: Дистрибуции 8, 9 и 10 са повлияни от уязвимостта.
- Debian: Екипът на дистрибуцията вече публикува коригирани ядра — версия 6.1.190-1 за Debian 12 (Bookworm) и 6.12.113-1 за Debian 13 (Trixie). Обновени са и клоновете testing и unstable.
- Други доставчици: SUSE, Oracle Linux и Amazon Linux пускат поправки за своите поддържани версии. Операционната система macOS не е засегната, тъй като използва ядрото XNU, а не Linux.
Какво да направите сега: препоръки за защита
Към момента няма данни за масово използване на CVE-2026-98432 от нападатели в реални условия. Въпреки това системните администратори трябва да действат превантивно.
