На момент публикации заметки Ubuntu ещё не выпустила исправленные пакеты ядра для CVE-2026-98432 в выпусках 22.04, 24.04 и 26.04 LTS. Команда CVE ядра Linux присвоила уязвимости оценку CVSS 9.8. На странице Canonical соответствующие пакеты обозначены как Vulnerable и work in progress, но даты выхода обновления нет.
Проблема представляет собой race condition и use-after-free в коде установления IPv4 TCP-соединений. Ошибка появилась в Linux 4.4. Исправление внесли в основную ветку 5 октября и перенесли в поддерживаемые stable-ветки, однако пользователям дистрибутива оно становится доступно только после сборки и публикации vendor kernel. По сведениям The Hacker News на 29 октября, обновления уже вышли хотя бы для части ядер Debian, Oracle Linux, SUSE и Amazon Linux, тогда как Ubuntu и RHEL оставались без исправленных пакетов.
27 октября Anthropic сообщила, что её модель Claude подготовила эксплойт для удалённого выполнения команд с правами root без учётных данных на сервере с Multipath TCP listener. Компания не опубликовала код, версию ядра и конфигурацию теста. На 29 октября ни рекомендации производителей, ни запись CVE не сообщали о реальных атаках с использованием этой уязвимости. Оценки severity различаются: Red Hat, Amazon, Oracle и SUSE ставили от 5,9 до 8,1, в первую очередь из-за разной оценки сложности эксплуатации.
Отсутствие официального пакета особенно важно для открытых интернету и мультитенантных self-hosted систем, где ядро LTS обеспечивает изоляцию и границы привилегий. Статья Freenode описывает выбор администратора как ожидание исправления, применение внешней меры защиты, если она доступна, либо перенос нагрузок на уже обновлённое ядро или выпуск.
При этом универсальной временной меры вендоры не предложили. Отключение MPTCP в отдельных Go-приложениях не считается надёжным общим решением: исходная ошибка ядра не ограничена MPTCP, а неизвестно, зависят ли от него все возможные способы атаки. Основная рекомендация специалистов — установить исправленное ядро, когда дистрибутив его выпустит.