Eine kritische Sicherheitslücke im Netzwerk-Code des Linux-Kernels betrifft nahezu alle Linux-Distributionen, darunter Debian, Red Hat, Suse und Ubuntu. Das berichtet heise online. Angreifer können die Schwachstelle CVE-2026-98432 übers Netz ausnutzen, um eigenen Code auszuführen; sie ist mit CVSS 9,8 bewertet. Entdeckt hat den Fehler Anthropics KI-Modell Claude bei systematischen Tests wichtiger Open-Source-Projekte.
Es handelt sich um eine Race Condition: Ein Angreifer kann den Kernel dazu bringen, Speicher zu verwenden, den kurz zuvor eine andere CPU freigegeben hat. Der fehlerhafte Code kam am 2. Oktober 2015 mit Kernel-Version 4.4 hinzu. Betroffen sind alle IPv4-Implementierungen seit dieser Version, IPv6 nicht. Am 15. Oktober wurde die Lücke laut Ankündigung auf der Liste linux-cve-announce in den Kernel-Versionen 6.12.113, 6.18.56, 7.2.10 und 7.3-rc7 geschlossen. Die Distributoren arbeiten an Updates.
Der bislang einzige bekannte Exploit stammt von Anthropic, ist nicht öffentlich und nutzt Multipath-TCP-Verbindungen. Auf der Mailingliste oss-security wird darauf hingewiesen, dass Go-Programme MPTCP standardmäßig anfordern und dass die eigentliche Schwachstelle gewöhnliches IPv4-TCP betrifft. Ob ein Angriff zwingend einen MPTCP-Dienst voraussetzt, ist laut heise unklar.
