Para: quem opera servidores Linux, especialmente os expostos à internet, e equipes que desenvolvem serviços de rede em Go. Este artigo se baseia no registro do CVE no NVD, nas páginas do Debian, Ubuntu, Red Hat e SUSE, no anúncio de segurança do projeto Go e na reportagem do BleepingComputer. Não aborda passos de ataque nem código de exploit.
Em andamento: esta página será atualizada conforme mais for publicado
- Quem é afetado
quem opera servidores Linux, especialmente os expostos à internet, e equipes que desenvolvem serviços de rede em Go.
- Confirmado até agoraVer a tabela ↓
- A falha
- Versões upstream corrigidas
- Kernels corrigidos do Debian
- Ainda não confirmado
- Kernels corrigidos do Ubuntu e da Red Hat
- Se a execução remota de código funciona contra servidores sem MPTCP
- Qualquer exploração ativa
Mais 1
- A própria avaliação do NVD (status: Received)
- O que fazer agoraVer os passos ↓
- Liste os servidores Linux que aceitam conexões TCP IPv4 de fora
- Instale o kernel corrigido onde houver
- Reinicie e confirme o kernel em execução
Mais 2
- Se ainda não há correção, aplique uma medida provisória do fornecedor e reduza a exposição
- Encontre os serviços que escutam com MPTCP, incluindo programas em Go
- Onde verificar (fonte)Todas as fontes ↓
- NVD, "CVE-2026-98432"
- Última verificação
- Em 1º de novembro de 2026 (JST)
Próximos avisos e o que verificamos
O boletim da Red Hat está marcado como "Ongoing" e diz que as correções estão sendo aceleradas. O Ubuntu lista as correções como em andamento. O Debian publicou kernels corrigidos.
O que fazer hoje
Liste os servidores Linux que aceitam conexões TCP IPv4 de fora
Quase todo host Linux exposto à internet se enquadra, incluindo hosts de contêineres e máquinas virtuais. O CVE avalia o ataque como não precisando de conta nem de ação do usuário (CVSS v3.1 9.8), então comece pelos servidores acessíveis pela internet (visão deste site).
Instale o kernel corrigido onde houver
No Debian, o bookworm precisa de 6.1.190-1 e o trixie precisa de 6.12.113-1 do repositório de segurança. Para a SUSE, verifique seu produto na página da SUSE, porque algumas linhas estão liberadas e outras em andamento. Para Ubuntu e Red Hat, acompanhe as páginas das fontes; em 1º de novembro elas não listavam nenhum kernel corrigido.
Reinicie e confirme o kernel em execução
Execute uname -r depois da reinicialização. Um pacote instalado que não é o kernel em execução não protege você. Um live patch do fornecedor que cubra este CVE também valeria, mas confira antes a página do fornecedor, porque a SUSE lista o live patching como em andamento para a maioria das linhas.
Se ainda não há correção, aplique uma medida provisória do fornecedor e reduza a exposição
A Red Hat descreve um filtro que descarta os pacotes TCP IPv4 de entrada com opções IP e diz que pode reduzir a exposição, mas não substituir a aplicação de patches. Teste-o primeiro e remova-o depois que o kernel for corrigido. Onde puder, restrinja quem consegue alcançar um serviço a redes confiáveis, uma mitigação que o BleepingComputer lista.
Encontre os serviços que escutam com MPTCP, incluindo programas em Go
A equipe de segurança do projeto Go diz que o Go 1.24 e posteriores ativam o MPTCP por padrão nos sockets de escuta no Linux, de modo que um serviço em Go pode usar MPTCP sem que ninguém o escolha. A equipe descreve desativá-lo programa a programa como uma forma frágil de reduzir a exposição e diz que a melhor correção é um kernel com patch. Faça isso como complemento, não como substituto.
Kernel corrigido disponível
Debian 12 e 13, alguns produtos da SUSE. Instale, reinicie, execute uname -r
Correção em andamento
Ubuntu, RHEL e produtos relacionados. Use a medida provisória do fornecedor e reduza a exposição
Verifique também
Listeners MPTCP, incluindo serviços com Go 1.24 ou posterior
Versões corrigidas
| Linha do kernel | Não afetada a partir de | Fonte |
|---|---|---|
| 5.10 | 5.10.272 | Registro do CVE no NVD (CNA do kernel) |
| 5.15 | 5.15.223 | Igual |
| 6.1 | 6.1.190 | Igual |
| 6.6 | 6.6.159 | Igual |
| 6.12 | 6.12.113 | Igual |
| 6.18 | 6.18.56 | Igual |
| 7.2 | 7.2.10 | Igual |
| 7.3 e posteriores | Corrigido pelo commit original da correção (Debian: upstream 7.3-rc7) | NVD, Debian |
A faixa afetada remonta ao kernel 4.4 segundo o NVD. Cada ramo tem sua própria versão corrigida, então julgue pela versão do pacote do seu distribuidor e não pelo número upstream.
| Distribuição | Situação em 1º de novembro de 2026 |
|---|---|
| Debian 12 (bookworm) | Corrigido: 6.1.190-1 (segurança) |
| Debian 13 (trixie) | Corrigido: 6.12.113-1 (segurança) |
| Debian testing e unstable | Corrigido: 7.2.12-1 e 7.2.14-1 |
| Ubuntu 26.10, 26.04 LTS, 24.04 LTS, 22.04 LTS | Vulnerável, correção em andamento |
| Ubuntu 20.04, 18.04, 16.04 | Vulnerável, sem versão informada |
| Ubuntu 14.04 | Não afetado |
| RHEL 8, 9, 10; OpenShift | Afetado; sem correção listada nas páginas da Red Hat. Status do boletim "Ongoing" |
| SUSE Linux Enterprise Server 16.0, 15 SP4 a SP6 LTSS, Micro 5.4, 5.5, 6.2 | Correções liberadas |
| SUSE Linux Enterprise Server 15 SP7, a maioria das linhas de live patching | Em andamento |
| SUSE Linux Enterprise Server 12 SP5, Micro 6.0 e 6.1 | Afetado |
A SUSE diz que sua própria página pode estar incompleta ou desatualizada. A Red Hat também lista como potencialmente impactados os produtos baseados no kernel do RHEL (como RHEL CoreOS, OpenStack Platform e Virtualization). Kernels de nuvem, de appliances e de outros fornecedores seguem seus próprios cronogramas.
O que foi divulgado
- CVE
- CVE-2026-98432, publicado em 15 de outubro de 2026. Status no NVD: Received, última modificação em 31 de outubro
- Tipo
- Use-after-free (o registro do CVE não informa um CWE)
- Gravidade
- CVSS v3.1 9.8 (AV:N/AC:L/PR:N/UI:N) da CNA do kernel. Ubuntu: High, 9.8. Red Hat: Critical (9.8 preliminar na sua página do CVE). SUSE: important, 8.1 (avalia a complexidade do ataque como High)
- Onde
- TCP IPv4 no kernel. As estruturas de opções IP (
inet_opteireq_opt) eram liberadas sem esperar os leitores, o que leva a um use-after-free emip_options_build(). Um caso relacionado na migração de sockets de requisição também é corrigido - Gatilho
- Segundo o rastreador do Debian, um SYN retransmitido concorrendo com a criação do socket filho pode ler as opções depois de liberadas. O IPv6 não é afetado pelo problema principal
- Correção
- Liberar essas estruturas após um período de graça do RCU (
kfree_rcu()). O NVD referencia oito commits de ramos estáveis - Exploração
- Nenhuma exploração ativa confirmada nas fontes verificadas. Fora do CISA KEV em 1º de novembro
Em palavras simples, o kernel liberou um pequeno pedaço de memória que continha opções de conexão enquanto outra parte ainda podia estar lendo-o. A memória lida depois de liberada pode ser reutilizada para outra coisa, e uma falha desse tipo pode acabar em uma queda ou em código executando com privilégios de kernel.
A Red Hat descreve o impacto principal como uma queda do sistema levando a uma negação de serviço (DoS) ou a uma possível corrupção de memória. Sua página do CVE explica a classificação Critical assim: um atacante remoto não autenticado pode causar corrupção da memória do kernel ou uma queda imediata por meio de tráfego TCP IPv4 padrão, e a execução confiável de código exige controle preciso da memória. O BleepingComputer informou que a Red Hat pontuou a falha com 5.9 como possível negação de serviço. As páginas da Red Hat que este site verificou em 1º de novembro mostram, em vez disso, Critical e um 9.8 preliminar. As classificações diferem entre fontes e podem ter mudado, então confira a página do seu produto.
A demonstração com MPTCP e o ângulo da IA
O BleepingComputer informou em 30 de outubro que pesquisadores de uma empresa de IA demonstraram, segundo relatos, a execução remota de código como root em laboratório, conforme o relatório da própria empresa, que o BleepingComputer cita mas não verificou, contra um servidor Linux com um listener MPTCP, usando um exploit desenvolvido por um modelo de IA não lançado dessa empresa. A equipe de segurança do projeto Go fez uma declaração semelhante em um anúncio retransmitido na lista oss-security em 29 de outubro: um servidor com listeners MPTCP foi mostrado como vulnerável à execução remota de código, e a falha não é específica do MPTCP. Este site não revisou a demonstração em si e não faz link para ela.
O que é e o que não é mostrado, segundo o BleepingComputer:
- A execução de código demonstrada precisou de um listener MPTCP
- A execução remota de código em servidores sem listener MPTCP não foi demonstrada publicamente
- Nenhuma exploração ativa foi confirmada até a data da reportagem
O MPTCP é opcional no kernel, mas a equipe de segurança do projeto Go diz que o Go 1.24 e posteriores o ativam por padrão nos sockets de escuta no Linux. Por isso as equipes que operam serviços de rede em Go devem verificar seus próprios listeners.
A lição para os defensores é a rapidez. Se um modelo de IA consegue transformar uma correção publicada do kernel em um exploit funcional, o intervalo entre um patch se tornar público e um ataque se tornar possível pode ser mais curto do que era (visão deste site). É um motivo para atualizar com o primeiro kernel corrigido do fornecedor em vez de esperar a próxima janela de manutenção.
O que se sabe e o que não se sabe
| Item | O que foi publicado | Situação |
|---|---|---|
| A falha | Use-after-free das opções IP no TCP IPv4; CVSS 9.8 da CNA do kernel, Ubuntu High 9.8, Red Hat Critical (preliminar), SUSE 8.1 | Confirmado (CNA do kernel, NVD, fornecedores) |
| Versões upstream corrigidas | De 5.10.272 a 7.2.10, listadas acima | Confirmado (registro do CVE no NVD) |
| Kernels corrigidos do Debian | 6.1.190-1 e 6.12.113-1 | Confirmado (rastreador do Debian) |
| Kernels corrigidos do Ubuntu e da Red Hat | Não listados nas páginas verificadas | Em andamento (fornecedores) |
| Execução remota de código com um listener MPTCP | Noticiado como mostrado em laboratório por pesquisadores de uma empresa de IA | Noticiado (BleepingComputer, equipe de segurança do projeto Go) |
| Execução remota de código sem MPTCP | Não mostrada publicamente; a equipe de segurança do projeto Go alerta que ataques semelhantes podem ser possíveis | Ainda não se sabe |
| Exploração ativa | Nenhuma confirmada; fora do CISA KEV em 1º de novembro | Ainda não se sabe |
| Pontuação própria do NVD | Ainda não atribuída (status Received) | Ainda não se sabe |
Fontes
Verificadas em 1º de novembro de 2026.
- NVD, "CVE-2026-98432" — nvd.nist.gov
- Rastreador de segurança do Debian — security-tracker.debian.org
- Ubuntu — ubuntu.com
- Red Hat, boletim RHSB-2026-016 — access.redhat.com / página do CVE — access.redhat.com
- SUSE — suse.com
- Anúncio de segurança do projeto Go, retransmitido no oss-security (29 de outubro de 2026) — openwall.com
- BleepingComputer, "Critical Linux kernel flaw allows remote root attacks on MPTCP servers" (30 de outubro de 2026, em inglês) — bleepingcomputer.com
- Catálogo de vulnerabilidades exploradas conhecidas (KEV) da CISA (verificado para este CVE em 1º de novembro) — cisa.gov
Histórico de atualizações
2026-11-01: Primeira versão, baseada nas páginas do NVD, Debian, Ubuntu, Red Hat e SUSE, no anúncio de segurança do projeto Go e na reportagem do BleepingComputer em 1º de novembro.
Leia em seguida
- Uma falha recente do kernel que está sendo explorada: Fragnesia do kernel do Linux (CVE-2026-46300)
- Decidindo a prioridade: Decidindo o que corrigir primeiro: CVSS, EPSS e KEV
- Corrigindo de verdade: Guia de remediação de CVE
- Defendendo-se quando os atacantes usam IA: Defesa contra ciberataques impulsionados por IA
- Termos: O que é RCE (execução remota de código) / O que é CVSS