2026-11-01
Ядро Linux CVE-2026-98432: use-after-free в TCP, вызываемый по сети (CVSS 9.8). Установите исправленное ядро, перезагрузитесь и проверьте MPTCP
CVE-2026-98432 — use-after-free в коде IPv4 TCP ядра Linux, опубликованный 15 октября 2026 года. CNA проекта ядра оценивает его в CVSS v3.1 9.8 (сеть, без привилегий, без действий пользователя). Исследователи одной ИИ-компании, как сообщается, в лабораторных условиях и по собственному отчёту продемонстрировали удалённое выполнение кода с правами root на сервере со слушающим сокетом Multipath TCP (MPTCP). BleepingComputer пишет, что удалённое выполнение кода на обычных TCP-серверах публично не показано, а эксплуатация в реальных атаках не подтверждена; этот сайт 1 ноября не нашёл CVE в каталоге KEV от CISA. Исправления из основной ветки есть в 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 и 7.2.10 и более поздних. На 1 ноября у Debian есть исправленные ядра, у SUSE — часть, а Ubuntu и Red Hat указывают исправления как находящиеся в работе. Одного отключения MPTCP недостаточно. Вывод этого сайта: обновляйте доступные из интернета серверы Linux по мере выхода исправлений, перезагружайтесь и пользуйтесь временной мерой поставщика только до тех пор.