Уязвимость CVE-2026-98432 в сетевом стеке IPv4 TCP ядра Linux позволяет удалённому неаутентифицированному атакующему добиться выполнения произвольного кода через состояние гонки при обработке TCP-соединений. Проблема затрагивает все версии ядра начиная с 4.4 и касается любой системы с открытым TCP-портом, принимающим IPv4-соединения. Red Hat и Canonical классифицируют уязвимость как критическую с оценкой CVSS 9.8. Патчи уже доступны для RHEL, Amazon Linux и частично для Ubuntu; администраторам необходимо обновить ядро и перезагрузить системы.
Техническая суть уязвимости
Проблема относится к классу use-after-free и возникает в функции tcp_v4_syn_recv_sock(). При принятии входящего IPv4 TCP-соединения ядро передаёт IP-опции из запросного сокета дочернему без копирования. Если клиент повторно отправляет SYN-пакет, пока другой процессор ещё читает эти опции, ядро обращается к уже освобождённой памяти в функции ip_options_build(). Дочерние TCP-сокеты не имеют флага SOCK_RCU_FREE, а деструктор inet_sock_destruct() освобождает inet_opt обычным kfree() вместо kfree_rcu().
Атакующий инициирует гонку, отправляя TCP-запросы на соединение с IPv4-опциями Record Route или Timestamp на любой слушающий TCP-порт. Аутентификация не требуется. Аналогичная проблема существует при миграции запросных сокетов (net.ipv4.tcp_migrate_req=1). Согласно данным Canonical, IPv6 не подвержен основной проблеме, поскольку путь обработки IPv6 дублирует опции.
Исправление заключается в замене kfree() на kfree_rcu() в inet_sock_destruct() и tcp_v4_reqsk_destructor(), что обеспечивает освобождение памяти только после завершения RCU grace period.
Расхождения в оценках серьёзности
Примечательно, что вендоры расходятся в оценке критичности. Fortinet, Red Hat и Ubuntu присваивают CVSSv3 9.8 и статус Critical, указывая на возможность удалённого выполнения кода. Amazon Linux, напротив, оценивает уязвимость на 8.1 (Important), акцентируя внимание на отказе в обслуживании и возможном повреждении памяти как основных последствиях. Это расхождение отражает разницу в оценке практической эксплуатируемости: гонка требует точного тайминга, и не каждый вендор считает надёжное достижение RCE гарантированным.
Статус эксплуатации
По данным Fortinet, уязвимость не зафиксирована в активной эксплуатации. Canonical сообщает, что, помимо внутреннего исследования Anthropic, других эксплойтов не известно. На GitHub опубликован код, демонстрирующий гонку и обнаруживающий обращение к освобождённой памяти в SYN-ACK, но без реализации выполнения кода. Мы уже писали о том, что внутренняя исследовательская модель Anthropic создала рабочий эксплойт для этой уязвимости, позволяющий получить root-доступ к серверам с MPTCP-слушателем без аутентификации. Код эксплойта не был опубликован.
Затронутые системы и доступные патчи
Уязвимость затрагивает широкий спектр Linux-дистрибутивов:
- Red Hat Enterprise Linux 8, 9, 10 и Red Hat OpenShift Container Platform — патчи выпущены 1 ноября (RHSA-2026:93414, RHSA-2026:93412, RHSA-2026:93413). Red Hat также указывает, что продукты на базе ядра RHEL, включая Red Hat OpenStack Platform и Red Hat Virtualization, могут быть затронуты.
- Ubuntu 22.04, 24.04, 26.04 LTS — исправления доступны в канале -proposed (версии ядра 5.15.0-203.213, 6.8.0-149.149, 7.0.0-43.43 соответственно). Пакеты из -proposed не устанавливаются автоматически. Ubuntu 26.10 исправлен в основном канале. Для Ubuntu 20.04 и старше патчей пока нет.
- Amazon Linux 2 и Amazon Linux 2023 — исправления выпущены между 24 и 30 октября.
- Fortinet — проверяет влияние на более чем 50 продуктов, включая FortiOS, FortiGate Cloud, FortiProxy, FortiManager, FortiAnalyzer, FortiWeb, FortiSIEM и другие. Статус расследования — в процессе.
Рекомендации по защите
Обновление ядра с последующей перезагрузкой — единственное полноценное решение, как подчёркивают и Red Hat, и Canonical. До установки патча доступны временные меры, снижающие, но не устраняющие риск:
Фильтрация IPv4 TCP-пакетов с IP-опциями. Red Hat опубликовал правило nftables:
table inet cve_2026_98432 {
chain input {
type filter hook input priority -310; policy accept;
ip protocol tcp ip hdrlength > 5 counter drop
}
}Это правило блокирует известный вектор атаки, но имеет ограничения: оно действует только на хосте, где загружено, и не фильтрует трафик между контейнерами на том же хосте. Кроме того, правило может нарушить работу приложений, использующих IPv4-опции.
Отключение MPTCP не является достаточной мерой. Red Hat прямо указывает, что MPTCP не является предусловием уязвимости — системы с отключённым MPTCP остаются уязвимыми. Canonical подтверждает: «Команда безопасности Ubuntu считает, что обновления безопасности — единственная адекватная мера защиты».
Для проверки текущей версии ядра используйте uname -r и сравните результат с версиями исправленных пакетов для вашего дистрибутива.
Учитывая наличие публичного PoC-кода, демонстрирующего гонку, критическую оценку от большинства вендоров и широту затронутых систем — от серверов до контейнерных платформ — обновление ядра следует рассматривать как приоритетную задачу. Администраторам RHEL рекомендуется установить выпущенные патчи немедленно; администраторам Ubuntu, которые не могут ждать выхода пакетов из -proposed в основной канал, — оценить возможность раннего обновления через -proposed с учётом рисков тестового канала.
