2026-11-01
CVE-2026-98432 do kernel do Linux: um use-after-free de TCP acionável pela rede (CVSS 9.8); instale o kernel corrigido, reinicie e verifique o MPTCP
CVE-2026-98432 é um use-after-free no código TCP IPv4 do kernel do Linux, publicado em 15 de outubro de 2026. A CNA do projeto do kernel o pontua com CVSS v3.1 9.8 (rede, sem privilégios, sem interação do usuário). Segundo relatos, pesquisadores de uma empresa de IA demonstraram, em laboratório e conforme seu próprio relatório, a execução remota de código como root contra um servidor com um listener Multipath TCP (MPTCP). O BleepingComputer diz que a execução remota de código em servidores TCP comuns não foi demonstrada publicamente e que nenhuma exploração ativa foi confirmada, e este site não encontrou o CVE no catálogo KEV da CISA em 1º de novembro. As correções upstream estão em 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 e 7.2.10 e posteriores. Em 1º de novembro, o Debian tem kernels corrigidos, a SUSE tem alguns, e Ubuntu e Red Hat listam as correções como em andamento. Desativar apenas o MPTCP não é uma correção completa. Conclusão deste site: atualize os servidores Linux expostos à internet conforme as correções forem chegando, reinicie e use uma medida provisória do fornecedor apenas até lá.