В стабильных ветках Linux исправлена критическая уязвимость CVE-2026-98432 — use-after-free при обработке IPv4 TCP-handshake. Она доступна удалённому неаутентифицированному узлу до того, как соединение попадёт в приложение. Ошибка существовала с Linux 4.4 и затрагивала сохранённые IPv4-опции: при создании полноценного сокета данные переходили от временного request socket без копирования, а освобождение памяти могло произойти, пока другой процессор ещё читал их.
По оценке Linux CNA, уязвимость получила 9,8 балла CVSS 3.1 и может приводить к раскрытию содержимого кучи ядра, повреждению памяти или аварийному завершению. Red Hat и некоторые другие поставщики оценивают её ниже — 8,1 балла с высокой сложностью атаки и преимущественным риском отказа в обслуживании. Anthropic сообщила, что Claude подготовил рабочий прототип удалённого выполнения команд с правами root на серверах с MPTCP-listener. Эксплоит не опубликован, а заявленный эффект относится к указанной конфигурации.
Исправление Эрика Дюмазе заменяет обычное освобождение двух структур на kfree_rcu: память освобождается только после завершения периода RCU, когда читатели больше не могут обращаться к ней. Исправления вошли в 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3. При проверке сервера нужно ориентироваться на трекер дистрибутива, потому что исправление может быть перенесено в пакет с другим номером. После установки нового ядра требуется перезагрузка, включая хосты контейнеров и Kubernetes: обновление образа контейнера ядро хоста не меняет.
На вечер 29 октября исправления уже были доступны для Debian, части SUSE, Oracle UEK и отдельных ядер Amazon Linux 2023. Ubuntu во всех выпусках, RHEL 8–10, Amazon Linux 2 и стандартное ядро Amazon Linux 2023 ещё числились уязвимыми. Это временный снимок статуса, а не постоянный список.
Если обновления пока нет, автор рекомендует ограничить доступ к MPTCP-listener и рассматривает фильтрацию TCP-пакетов с IPv4-опциями как временную меру. Такая фильтрация не исправляет ядро, а её защита от реального эксплоита не проверена.