Кто виноват: код 2016 года или нейросеть, которая нашла ошибку? Дыра CVE-2026-98432 сидела в Linux почти десять лет
Разработчики крупных дистрибутивов Linux выпустили исправления для критической уязвимости CVE-2026-98432, позволяющей атаковать серверы через сеть без авторизации и потенциально получать права root. Обновления уже доступны для Debian, Red Hat Enterprise Linux и ряда продуктов SUSE, но некоторые версии Ubuntu пока остаются без окончательно проверенных патчей.
Уязвимость CVE-2026-98432 получила 9,8 балла из 10 по шкале CVSS и затрагивает сетевой стек IPv4/TCP ядра Linux начиная с версии 4.4, выпущенной в 2016 году. Ошибка присутствовала в коде почти десятилетие и может привести к повреждению памяти, аварийному завершению работы системы или удалённому выполнению произвольного кода. Для атаки не требуются учётные данные или действия пользователя, достаточно сетевого доступа к уязвимой службе.
Причина проблемы связана с состоянием гонки при обработке TCP-соединений. Когда сервер одновременно обрабатывает повторные запросы на установку соединения, один процессор может освободить участок памяти, пока другой продолжает обращаться к находящимся там данным. Возникает ошибка Use-After-Free, позволяющая атакующему нарушить работу ядра и при определённых условиях перехватить управление системой.
Уязвимость обнаружила исследовательская группа Anthropic при помощи экспериментальной модели Claude. Разработчики не ограничились поиском ошибки и создали эксплойт, который в лабораторных условиях позволил выполнять команды с правами root на удалённом Linux-сервере. Для атаки использовалось соединение Multipath TCP (MPTCP), позволяющее передавать данные по нескольким сетевым маршрутам. В демонстрации не потребовались ни пароль, ни предварительный доступ к машине.
Эксплойт работал в два этапа. Сначала специально подготовленные пакеты заставляли ядро раскрыть адрес в памяти, что позволяло обойти защиту KASLR, которая скрывает расположение компонентов ядра. Затем атакующий использовал ту же ошибку для изменения содержимого памяти и выполнения команды. Первый этап занял 48 минут, второй ещё 5 минут. Неудачные попытки не приводили к обязательному падению сервера, поэтому эксперимент можно было многократно повторять до успешного результата.
При этом уязвимость не ограничивается MPTCP. Проблемный код находится в обычной реализации IPv4/TCP, поэтому отключение многопутевых соединений устраняет лишь продемонстрированный Anthropic способ эксплуатации. Другие варианты атаки могут использовать повторные TCP-запросы или механизм переноса соединений между сокетами. Публичного эксплойта, подтверждающего возможность получения root без MPTCP, пока нет. Сведений о подтверждённых атаках злоумышленников с использованием CVE-2026-98432 также не опубликовано.
Исправление внесли в основное дерево Linux в октябре, после чего разработчики перенесли изменения в поддерживаемые стабильные ветки. Патчи получили ядра 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113 и 6.18.56. Исправление также присутствует в Linux 7.2.10 и 7.3. Однако дистрибутивы нередко используют собственные сборки ядра с перенесёнными изменениями, поэтому номер установленной версии сам по себе не позволяет однозначно определить наличие уязвимости.
Red Hat выпустила обновления для Enterprise Linux 8, 9 и 10. В частности, бюллетень RHSA-2026:93414 от 1 ноября описывает критическое исправление для восьмой версии корпоративного дистрибутива. Разработчики Debian закрыли проблему в Debian 13 с помощью пакета linux 6.12.113-1, а для Debian 12 доступны исправленные ядра 6.1.190-1 и 6.12.113-1~deb12u1. Актуальный статус пакетов опубликован в системе отслеживания уязвимостей проекта.
SUSE также распространяет обновления безопасности для нескольких корпоративных и открытых дистрибутивов. Исправления доступны, в частности, для SUSE Linux Enterprise Server 16.0, отдельных сборок Enterprise Server 15 и openSUSE Leap 16.0. Однако выпуск патчей для всей линейки ещё не завершён. Вендор оценивает CVE-2026-98432 в 8,1 балла по CVSS 3.1, поскольку считает эксплуатацию достаточно сложной, хотя общая оценка уязвимости составляет 9,8 балла.
С Ubuntu ситуация отличается. Canonical подготовила исправленные ядра для Ubuntu 22.04 LTS, 24.04 LTS и 26.04 LTS, но пока разместила пакеты в тестовом репозитории -proposed. Для Ubuntu 22.04 LTS доступна версия 5.15.0-203.213, для 24.04 LTS подготовлена 6.8.0-149.149, а для 26.04 LTS выпущена 7.0.0-43.43. Ubuntu 26.10 уже получила исправление в ядре 7.3.0-10.10. Для поддерживаемых старых выпусков 16.04, 18.04 и 20.04 патчи ещё готовятся.
Canonical объясняет задержку необходимостью проверить обновления на оборудовании с различными конфигурациями. Компания тестирует исправленные ядра более чем на 2000 сертифицированных серверах и устройствах, прежде чем включить пакеты в обычный репозиторий обновлений. Администраторы, которые самостоятельно проверяют совместимость ядер со своей инфраструктурой, могут установить тестовые сборки раньше. Однако для рабочих систем такой подход требует предварительного тестирования.
Проблема затрагивает не только обычные Linux-серверы. Под угрозой могут оказаться виртуальные машины, контейнерные узлы и сетевые устройства, использующие уязвимое ядро. Amazon уже выпустила исправления для ряда облачных платформ, включая обновлённые образы Amazon Linux и защищённую версию платформы AWS Fargate. При этом существующие виртуальные машины и контейнерные окружения могут потребовать отдельного обновления или замены.
До установки патча администраторы могут снизить риск, отключив MPTCP и ограничив обработку входящих TCP-пакетов с дополнительными параметрами IPv4. Однако такие меры не устраняют саму ошибку. Red Hat предупреждает, что фильтрация потенциально опасного трафика не гарантирует полной защиты и способна нарушить работу отдельных сетевых приложений. Единственным полноценным решением остаётся установка исправленного ядра с последующей перезагрузкой сервера.
Проверить работающую версию ядра можно командой uname -r, после чего следует сопоставить результат с бюллетенем безопасности своего дистрибутива. Особое внимание требуется серверам, принимающим TCP-соединения из интернета. Отсутствие MPTCP в конфигурации не означает, что машина защищена от CVE-2026-98432, поскольку уязвимый механизм входит в стандартный сетевой стек Linux.