Uma falha no código TCP do kernel do Linux, identificada como
CVE-2026-98432
, afeta o Ubuntu, o Red Hat Enterprise Linux (RHEL) e outras distribuições Linux. A equipe de CVE do kernel atribuiu à vulnerabilidade nota 9,8 de 10 na escala CVSS.
Em 27 de outubro, a Anthropic afirmou que seu modelo de IA escreveu um exploit que usa a falha para permitir que um invasor remoto sem credenciais execute comandos como administrador em servidores Linux que executam um serviço TCP com suporte a MPTCP.
Até 29 de outubro, Ubuntu e RHEL ainda não haviam lançado um kernel corrigido. Red Hat, Amazon, Oracle e SUSE atribuíram à falha notas entre 5,9 e 8,1, abaixo da avaliação 9,8 da equipe do kernel.
A falha é uma condição de corrida no código que estabelece novas conexões TCP sobre IPv4. Ela pode fazer o kernel acessar uma região de memória que já foi liberada, um tipo de bug conhecido como use-after-free.
O patch do kernel atribui à pesquisadora da Anthropic Xinyang Ge a identificação da falha. Nem o registro da CVE nem o patch mencionam o TCP multipercurso (MPTCP). A relação entre esse recurso e a vulnerabilidade foi apresentada pela Anthropic.
O MPTCP permite que uma conexão use vários caminhos de rede ao mesmo tempo. No Linux, um aplicativo precisa solicitar o uso de MPTCP ao abrir um socket.
A publicação da Anthropic afirma que a falha “foi corrigida no projeto principal e transferida para todas as ramificações estáveis mantidas”. Para quem usa uma distribuição Linux, porém, a correção só chega pelo pacote de kernel do fornecedor. Debian, Oracle Linux, SUSE e Amazon Linux já disponibilizaram pacotes corrigidos, ao menos para alguns de seus kernels. Ubuntu e RHEL ainda não.
Quais distribuições já têm correção
| Distribuição | Avaliação do fornecedor | Situação em 29 de outubro | Pacote corrigido ou comunicado |
|---|---|---|---|
| Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS e 26.10 | Prioridade alta | Em andamento | Nenhum lançado |
| Ubuntu 16.04, 18.04 e 20.04 | Prioridade alta | Vulnerável | Nenhum lançado |
| RHEL 8, 9 e 10; OpenShift 4 | Moderada, 5,9 (página da CVE). Importante, 8,1 (arquivo de comunicado) | Correção adiada | Nenhum lançado |
| RHEL 7 | Não aplicável | Não afetado | Não é necessário |
| Amazon Linux 2023, pacote kernel6.18 | Importante, 7,0 | Corrigido em 24 de outubro | `kernel6.18-6.18.56-125.164.amzn2023` (ALAS2023-2026-3251) |
| Amazon Linux 2023, pacote kernel6.12 | Importante, 7,0 | Correção indicada em 29 de outubro no comunicado da Amazon; a página da CVE da empresa ainda informa que está pendente | `kernel6.12-6.12.113-138.209.amzn2023` (ALAS2023-2026-3335) |
| Amazon Linux 2 e pacote de kernel do Amazon Linux 2023 | Importante, 7,0 | Correção pendente | Nenhum lançado |
| Oracle Linux 7, 8, 9 e 10, kernel UEK | Importante, 8,1 | Corrigido em 16 de outubro | ELSA-2026-500397, ELSA-2026-500398 e ELSA-2026-500399 |
| Debian trixie (estável) | Sem nota informada | Corrigido em 16 de outubro | `linux 6.12.113-1` (DSA-6568-1) |
| Debian 12 (bookworm) | Sem nota informada | Corrigido em 17 e 22 de outubro | `linux 6.1.190-1` (DLA-4841-1) e `linux-6.12 6.12.113-1~deb12u1` (DLA-4850-1) |
| SUSE Linux Micro 6.2 e openSUSE Leap 16.0 | Importante, 8,1 | Corrigido | `kernel-default 6.12.0-160000.40.1` ou versão posterior |
| SLES 15 SP4 a SP6 LTSS, SLES 16.0 e SLE Micro 5.3 a 5.5 | Importante, 8,1 | Em testes | Nenhum lançado |
| SLES 15 SP7 | Importante, 8,1 | Afetado, correção em andamento | Nenhum lançado |
O Ubuntu também considera vulneráveis, ou ainda em processo de correção, seus kernels para cloud, FIPS e tempo real. A Red Hat afirma que as correções foram “adiadas para uma atualização futura”. Nenhuma das empresas informou uma data de lançamento.
Como a falha funciona
A condição de corrida ocorre durante o handshake TCP. Quando uma conexão é estabelecida, o kernel transfere para o novo socket as opções de IP armazenadas com a solicitação pendente, sem copiá-las.
Se o socket for destruído enquanto outro processador ainda usa essas opções para responder a uma nova tentativa de conexão, o kernel acessa memória já liberada.
O IPv6 não é afetado por essa condição de corrida porque, nesse caso, o kernel copia as opções das conexões.
A falha foi introduzida no Linux 4.4. Desenvolvedores do kernel aplicaram uma correção em 5 de outubro, dez dias antes da publicação da CVE.
A correção faz o kernel esperar que outros processadores terminem de ler as opções antes de liberar a memória.
Por que as avaliações são diferentes
A equipe de CVE do kernel acrescentou a nota 9,8 ao registro da vulnerabilidade em 24 de outubro, nove dias depois de publicar a CVE.
A avaliação considera um invasor que envia uma solicitação de conexão TCP com as opções IPv4 Record Route ou Timestamp e, em seguida, reenvia a solicitação para tentar vencer a condição de corrida. A equipe classificou a complexidade do ataque como baixa, sob o argumento de que os dois lados da disputa são “induzidos pelo invasor”.
Nesse cenário, segundo a equipe, a falha pode fazer com que dados próximos na memória do kernel sejam enviados ao invasor, corromper a memória do kernel ou derrubar o sistema.
Em 28 de outubro, a National Vulnerability Database (NVD) ainda não havia atribuído uma nota própria e exibia a avaliação 9,8 da equipe do kernel. A página do Ubuntu também apresenta essa nota.
A página da CVE da Red Hat classifica a falha como moderada, com nota 5,9, porque considera difícil vencer a condição de corrida. A empresa afirma que o resultado mais provável é uma falha do kernel, embora a corrupção de memória seja teoricamente possível, e diz que “não foi demonstrado impacto à confidencialidade ou à integridade”.
Já o arquivo de comunicado da Red Hat, em formato legível por máquina e atualizado em 29 de outubro, classifica o impacto como importante e atribui nota 8,1, com alto impacto sobre confidencialidade e integridade. No mesmo dia, o sistema de acompanhamento de bugs da empresa elevou a gravidade de média para alta. Ainda assim, a página da CVE mostrava a classificação moderada e a nota 5,9.
Oracle e SUSE também atribuíram nota 8,1, usando o mesmo vetor CVSS do arquivo de comunicado da Red Hat. As avaliações coincidem com a da equipe do kernel em todos os critérios, exceto na complexidade do ataque: os fornecedores a classificam como alta, enquanto a equipe do kernel a considera baixa. A Amazon atribuiu nota 7,0.
O que a Anthropic diz ter desenvolvido
Em uma publicação de 27 de outubro sobre falhas encontradas e exploradas por seu modelo de IA Claude, a Anthropic descreveu o exploit para Linux. O The Hacker News noticiou a publicação em 28 de outubro. Segundo a Anthropic, Claude escreveu o exploit após “uma orientação inicial”.
O exploit funciona em duas etapas. Primeiro, a condição de corrida faz o kernel enviar bytes adicionais ao invasor. Quando uma dessas respostas inclui um endereço do kernel, o invasor pode contornar o KASLR, mecanismo que randomiza os endereços de memória do kernel.
Na segunda etapa, a mesma falha provoca um buffer overflow e sobrescreve um ponteiro de função callback com o endereço de um payload que o invasor já havia colocado na memória do kernel. Quando o kernel chama esse ponteiro, o payload executa, como administrador, um comando de shell escolhido pelo invasor.
Uma tentativa que perde a condição de corrida falha apenas naquela conexão e não derruba o sistema. Por isso, o invasor pode continuar tentando, afirmou a empresa. No teste da Anthropic, foram necessários 48 minutos para obter um endereço do kernel e mais cinco minutos para chegar à execução de comandos.
A publicação não inclui o código do exploit, a versão do kernel nem a configuração testada pela Anthropic.
A Red Hat afirma que um invasor remoto capaz de alcançar um serviço TCP exposto pode provocar a condição de corrida. O exploit de escalada para administrador descrito pela Anthropic, no entanto, foi direcionado a servidores com um serviço TCP com suporte a MPTCP. A publicação não esclarece se servidores sem esse recurso podem ser comprometidos da mesma forma.
Até 29 de outubro, nenhum comunicado dos fornecedores, o registro da CVE ou a publicação da Anthropic relatava ataques que explorassem a falha. Ela também não aparecia em uma cópia do catálogo de Vulnerabilidades Conhecidas Exploradas da CISA, atualizado pela CIRCL de Luxemburgo em 28 de outubro.
O que fazer agora
Instale o kernel corrigido assim que ele estiver disponível para sua distribuição. A tabela acima reúne os pacotes e comunicados do Debian, Oracle Linux, SUSE e Amazon Linux.
Quem compila o próprio kernel pode encontrar a correção nas versões Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3. A equipe de CVE do kernel recomenda atualizar para a versão estável mais recente. Segundo ela, a comunidade do kernel não oferece suporte à seleção e aplicação isolada de correções.
Ubuntu, RHEL e algumas versões do Amazon Linux e do SUSE ainda não têm um kernel corrigido disponível para instalação. A Red Hat afirma que nenhuma medida de mitigação disponível atende aos seus critérios de facilidade de implantação, adequação à maioria das instalações e estabilidade. Os comunicados dos demais fornecedores não indicam outras medidas.
Os comunicados e a publicação da Anthropic não esclarecem se desativar o MPTCP ou bloquear solicitações de conexão recebidas com opções de IP reduziria o risco.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...