Ilustração: Kernel Linux: Red Hat lança correções da falha TCP; Ubuntu em teste
Kernel Linux · Exploração relatada

Kernel Linux: Red Hat lança correções da falha TCP; Ubuntu em teste

· 3 min de leitura

A falha CVE-2026-98432, um use-after-free de gravidade 9,8 na pilha TCP IPv4 do kernel Linux, pode ser alcançada por atacante remoto sem autenticação. Kernels corrigidos já saíram para RHEL 8, 9 e 10; no Ubuntu, as correções seguem apenas em canal de teste, sem data para atualização regular. Aplique o kernel corrigido assim que ele chegar ao canal estável.

Por Atualizado Receba isso todo dia →← Voltar ao feed 9 fontes
WhatsApp LinkedIn X
AltaFalhaExploração relatadaCorreção parcial
Neste artigo
  1. O que aconteceu
  2. Por que importa
  3. O que fazer
  4. Para o time técnico
  5. Linha do tempo
  6. Fontes

O que aconteceu

O kernel Linux tem uma falha grave na pilha TCP IPv4, avaliada em 9,8 de 10. Um atacante remoto, sem senha, pode executar comandos como root em servidores expostos; a Anthropic demonstrou um exploit funcional criado por sua IA. A Red Hat liberou correções para RHEL 8, 9 e 10; o Ubuntu segue com correção só no canal de teste.

Incidentes como este, todo dia de manhã

Os que pedem ação primeiro, em 3 minutos de leitura.

Grátis · 1 e-mail por dia, de manhã · sem spam, cancele em 1 clique

Por que importa

Servidores Linux com serviços de rede expostos à internet podem ser totalmente comprometidos, com vazamento de memória, queda ou controle total, antes de qualquer login. Programas em Go 1.24 ou mais novo no Linux aceitam TCP multipath por padrão, caminho usado pelo exploit, então a exposição pode ser maior do que o time imagina. Não há ataques conhecidos na natureza, segundo relatos, mas um pesquisador detectou varredura na internet inteira por sistemas expostos.

O que fazer

Instalar o kernel corrigido: RHEL 8, 9 e 10 já têm patch e o Debian corrigiu em 16 de outubro; no Ubuntu, avaliar o canal de teste enquanto a atualização estável não sai. Revisar servidores expostos e serviços em Go 1.24 ou posterior; paliativo citado para apps Go: GODEBUG=multipathtcp=0.

Para o time técnico

CVE
CVE-2026-98432
Afetados
Kernel Linux (pilha TCP IPv4) · Kernel Linux 4.4 e posteriores. Ubuntu (três LTS mais recentes) e Red Hat Enterprise Linux 8, 9 e 10 citados como afetados.
Exploração
Anthropic relatou em 27 de outubro que um modelo Claude escreveu exploit funcional que executou comandos escolhidos pelo atacante como root em servidores Linux com listener MPTCP; o exploit levou cerca de 53 minutos em teste e não foi publicado. Um pesquisador detectou varredura de atores de ameaça na internet inteira por sistemas expostos. @DarkWebInformer informa que não há ataques conhecidos na natureza; comentarista do LWN construiu PoC de crash em cerca de uma hora com o Claude.
Correção
Correção upstream: liberar inet_opt/ireq_opt só após um período de graça RCU (commit e3f33b0a1d89d738e2b913dab519226eaf76e15b; backport 11a03ce3c4a62d84c10ccdfe47f8075006498568 no ramo 6.12.y). Kernels estáveis corrigidos segundo @DarkWebInformer: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3. Debian corrigiu em 16 de outubro; Red Hat publicou kernels para RHEL 8, 9 e 10; Ubuntu apenas em canal opcional de teste, sem data. Mitigações citadas: GODEBUG=multipathtcp=0 para apps Go; regra de firewall que descarta pacotes SYN TCP com opções IPv4 (ex.: iptables com u32); a Red Hat avalia que desativar o MPTCP não mitiga a falha
Vetor
Use-after-free por condição de corrida na pilha TCP IPv4 do kernel: as opções SYN (estruturas inet_opt/ireq_opt) são liberadas antes de outras CPUs terminarem de lê-las. Um SYN retransmitido com opções IP, no momento em que a conexão é estabelecida em outra thread, faz a primeira thread acessar a estrutura já liberada, permitindo vazamento de memória do kernel, buffer overflow com payload do atacante, queda do host ou root remoto. Vetor de rede, sem privilégios, sem interação do usuário e antes da autenticação da aplicação. O caminho divulgado exige listener Multipath TCP; programas Go 1.24 ou mais novo no Linux usam MPTCP por padrão.
Mais detalhes
Um relato diz que a correção chegou aos kernels estáveis em 11 de outubro; comentarista do LWN lista LTS corrigidas a partir de 15 de outubro (7.2.11, 6.18.57, 6.12.113, 6.6.159, 6.1.190, 5.15.223, 5.10.272), números um pouco diferentes dos do tweet. A nota 9,8 é do time de CVE do kernel; a Red Hat classifica a falha como 5.9, por considerar a corrida difícil de vencer e a negação de serviço como impacto prático mais provável. MPTCP é apenas o caminho divulgado; comentarista alerta que pode haver outros trechos com falhas semelhantes na pilha TCP. Debian, Oracle Linux, Amazon Linux e SUSE liberaram correções para ao menos parte dos ramos afetados até 29 de outubro; o time de segurança do Go avisou sobre o padrão MPTCP em 29 de outubro

Linha do tempo

  1. Red Hat publica kernels corrigidos para RHEL 8, 9 e 10; correções do Ubuntu continuam disponíveis só no canal de teste.

  2. Ubuntu publicou correções de teste em canal opcional de testes, sem data para as atualizações regulares; a Red Hat já corrigiu RHEL 8, 9 e 10, e desativar o MPTCP não mitiga a falha.

  3. Anthropic afirma que sua IA construiu um exploit de root para a falha; Debian corrigiu em 16 de outubro e a correção do Ubuntu segue em teste, sem data de lançamento.

Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →

Ver todas as 15 atualizações

  1. Pesquisador detecta varredura de atores de ameaça na internet inteira por sistemas expostos à falha e avalia que o número de alvos em potencial é alto, aumentando a chance de desenvolvimento de exploits.

  2. Novo aviso detalha que a falha afeta o kernel Linux 4.4 e posteriores, com vetor de rede, sem privilégios e sem interação do usuário.

  3. Incidente aberto.

  4. Divulgação técnica detalha a condição de corrida presente desde o kernel 4.4: as opções SYN do TCP IPv4 são liberadas antes de outras CPUs terminarem de lê-las, então um único SYN com opções IP pode vazar memória do kernel, derrubar o host ou possivelmente dar root remoto.

  5. Correção chegou aos kernels estáveis em 11 de outubro e o Debian já a distribui; Ubuntu e Red Hat seguem sem correção, e o Go 1.24 ou posterior abre ouvinte MPTCP por padrão.

  6. Exploit divulgado permite root remoto em servidores Linux com MPTCP.

  7. Projeto Go avisa que aplicativos Go 1.24 ou mais novos no Linux aceitam por padrão conexões multipath TCP, caminho usado pelo exploit; paliativo é GODEBUG=multipathtcp=0, e a correção definitiva segue no kernel.

  8. Anthropic detalha que o exploit, criado por um modelo Claude não lançado, dá root remoto sem login em servidores com listener multipath TCP; Debian lançou correção em 16 de outubro.

  9. Antropic afirma que a IA Claude desenvolveu um exploit funcional que executou comandos escolhidos pelo atacante como root em servidores Linux com um listener Multipath TCP.

  10. Falha na pilha TCP do kernel recebe o identificador CVE-2026-98432; Anthropic relata que seu modelo de IA escreveu exploit que dá root remoto sem credenciais.

  11. Anthropic demonstrou exploit que executa comandos como root em servidores com MPTCP; correções saíram para algumas versões, mas Ubuntu e RHEL seguem sem patch.

  12. Divulgação inicial: falha de use-after-free com severidade 9,8 na pilha TCP IPv4 do kernel; autor pede atualização imediata.

Fontes 9 fontes

Ver todas as 17 fontes

Receba o próximo amanhã de manhã

Um e-mail por dia com o que mudou, o que corrigir primeiro e como. Depois da inscrição você entra no feed completo.

Grátis · 1 e-mail por dia, de manhã · sem spam, cancele em 1 clique

Indique para o seu time

Quem cuida de segurança com você também devia receber.

LinkedIn X

Seu colega recebe um pedido de confirmação. Nada é enviado sem ele confirmar.

Ver todas as notícias

Leia também

Antes de sair: receba isso todo dia

A edição diária do HIFY Radar chega de manhã com os incidentes que pedem ação. Grátis.

Grátis · 1 e-mail por dia, de manhã · sem spam, cancele em 1 clique