A Linux kernel IPv4 TCP implementációjában azonosított, CVE-2026-98432 jelzésű sérülékenység egy versenyhelyzetből eredő use-after-free memóriakezelési hiba. A 9,8-as CVSS 3.1 besorolású probléma távolról, hitelesítés nélkül kihasználható. A támadás rendszerösszeomlást okozhat, de az Anthropic kutatói működő exploitot is demonstráltak, amellyel MPTCP (Multipath TCP) szolgáltatást futtató Linux-szerveren root jogosultságú parancsvégrehajtást értek el.

A sérülékenység többek között az Ubuntu, Debian, Red Hat Enterprise Linux (RHEL) és Proxmox VE rendszereket is érinti, a használt kernelverziótól függően. A Proxmox VE 9 esetében a 7.0.14-24-pve és korábbi 7.0-s kernelek érintettek, a 7.0.14-25-pve már tartalmazza a javítást. A kihasználáshoz hálózati hozzáférés szükséges az érintett TCP-szolgáltatáshoz, ezért a megfelelő tűzfalszabályok és a hálózati izoláció jelentősen csökkenthetik a kockázatot. A végleges megoldás a javított kernel telepítése, amely már elérhető az upstream stabil kernelágakban és egyes disztribúciókban.

• CVE-2026-98432: ipv4: free inet_opt and ireq_opt after an RCU grace period
• Discovering and exploiting vulnerabilities in critical, real-world software with Claude
• CVE-2026-98432 - Ubuntu
• CVE-2026-98432 - Red Hat
• [DSA 6568-1] linux security update - Debian
• CVE-2026-98432 in Proxmox VE - Proxmox Support Forum
• Proxmox VE Kernel Changelog

‼️ Linux kernel TCP flaw rated 9.8 CVSS. Anthropic demonstrated an exploit that runs commands as root on servers using MPTCP. Ubuntu and RHEL still lack fixes, while Debian, Oracle and others have released patches for some versions. Details: https://t.co/sGwlEL7RNk

— The Hacker News (@TheHackersNews) October 29, 2026

(A cikk nyomokban Mesterséges Intelligencia által szolgáltatott adatokat tartalmaz, így a tartalmát érdemes duplán ellenőrizni!)