Im Linux-Kernel wurde eine gravierende Sicherheitslücke entdeckt, die nicht authentifizierten Angreifern aus der Ferne das Ausführen von Schadcode mit vollständigen Administratorrechten ermöglicht.
Die Schwachstelle mit der Bezeichnung CVE-2026-98432 weist den dritthöchsten CVSS-Schweregrad von 9,8 auf und geht auf einen Use-after-free-Speicherfehler im IPv4-TCP-Code zurück, der bereits seit Kernel-Version 4.4 im System vorhanden ist. Während Red Hat Enterprise Linux bereits abgesichert wurde, Administratoren vieler Ubuntu-Installationen noch auf offizielle Updates warten.
Patch-Status bei Red Hat, Ubuntu und weiteren Distributionen
Red Hat stellte am 1. November Sicherheitskorrekturen für RHEL 8, 9 und 10 unter den Kennungen RHSA-2026:93414, RHSA-2026:93412 und RHSA-2026:93413 bereit.
Das Unternehmen stuft die Lücke als kritisch ein. Nach der Aktualisierung auf die Kernel-Versionen 4.18.0-553.182.1 (RHEL 8.10), 5.14.0-687.64.1 (RHEL 9.8) beziehungsweise 6.12.0-211.72.1 (RHEL 10.2) ist ein Systemneustart zwingend erforderlich.
Der Fehler liegt in der allgemeinen Verarbeitung von IPv4-TCP-Verbindungen und wird über manipulierte TCP-SYN-Pakete mit IPv4-Optionen wie Record Route oder Timestamp ausgelöst. Eine Nutzung des Multipath-TCP-Protokolls (MPTCP) ist für einen Angriff nicht erforderlich.
OpenShift 4 sowie der Echtzeit-Kernel von RHEL 9 blieben zunächst betroffen; am 2. November verknüpfte Red Hat zudem einen Sicherheitshinweis von NVIDIA für RHEL 10 mit der Schwachstelle.
Bei Canonical blieben die Standard-Kernel für Ubuntu 22.04 und 24.04 am Montagnachmittag US-Ostküstenzeit ungepatcht. Korrekturen für Ubuntu 22.04, 24.04 und 26.04 (Kernel-Versionen 5.15.0-203.213, 6.8.0-149.149 und 7.0.0-43.43) waren am 2. November lediglich im internen Testkanal verfügbar, während der Hersteller die Pakete auf mehr als 2.000 zertifizierten Servern erprobte.
Für reguläre Updates nannte Canonical keinen Termin. Ubuntu 26.10 ist mit der Version 7.3.0-10.10 bereits geschützt, ältere Ausgaben wie 16.04, 18.04 und 20.04 sind weiterhin verwundbar, während Ubuntu 14.04 als nicht betroffen gilt.
Wer sich mit der Absicherung von Ubuntu-Systemen befasst, findet in diesem kostenlosen Startpaket wertvolle Hilfestellungen für eine stabile und sichere Konfiguration. Vorteile von Ubuntu jetzt risikofrei testen
Andere Distributionen haben bereits reagiert: Debian veröffentlichte Fixes bereits am 16. Oktober. Auch SUSE (darunter SLES 16.0, 15 SP4–SP6 LTSS und openSUSE Leap 16.0), Oracle Linux (UEK 7 bis 10) sowie Amazon Linux 2 und 2023 stellen gepatchte Kernel bereit. Ältere Systeme unter RHEL 7 und CentOS 7 sind nicht von der Lücke betroffen.
Bedrohungslage und technische Notmaßnahmen
Die praktische Ausnutzbarkeit der Schwachstelle gilt als belegt: Anthropic demonstrierte am 27. Oktober, dass ein internes KI-Modell der Claude-Reihe ohne menschliches Eingreifen einen funktionsfähigen Root-Exploit gegen einen MPTCP-Dienst erzeugen konnte.
Der Vorgang benötigte 48 Minuten zur Umgehung des Speicherschutzes (KASLR) und weitere fünf Minuten bis zur vollständigen Root-Shell. Schlägt ein solcher Race-Condition-Angriff fehl, stürzt das Zielsystem nicht ab, wodurch wiederholte Versuche möglich sind.
Der Sicherheitsforscher Marcus Hutchins verzeichnete Hinweise auf breit angelegte Internet-Scans über MPTCP auf Port 443 seit dem 2. November. Eigene Messungen von Hutchins am 30. Oktober ergaben rund 2.102.043 über MPTCP erreichbare Server sowie etwa 762.774 Systeme bei einem TLS-Scan.
Angesichts komplexer Bedrohungen für Betriebssysteme gewinnt der risikofreie Test sicherer Alternativen an Bedeutung. Erfahren Sie in dieser Schritt-für-Schritt-Anleitung, wie Sie Ubuntu parallel zu Ihrem bestehenden System installieren und absichern. Gratis Linux-Startpaket inklusive Ubuntu-Vollversion sichern
Öffentlich waren bislang lediglich Konzepte für Denial-of-Service-Angriffe bekannt, jedoch kein fertiger RCE-Schadcode. Die US-Behörde CISA führte CVE-2026-98432 mit Stand vom 30. Oktober nicht in ihrer Liste aktiv ausgenutzter Schwachstellen.
Betroffenheit zeigte sich auch im Krypto-Bereich: Das Entwicklerteam Anza informierte am 1. November Validatoren im Solana-Netzwerk über die Risiken. Technische Experten rieten Betreibern von Ubuntu-Systemen, eingehende TCP-Pakete mit IPv4-Optionen vorübergehend zu filtern sowie MPTCP und die Request-Socket-Migration zu deaktivieren.
Allerdings betonen Hersteller wie Red Hat und Amazon, dass Konfigurationsänderungen oder Paketfilter die Lücke nicht verlässlich schließen und laufende Dienste beeinträchtigen können; eine vollständige Absicherung erreiche ausschließlich ein Kernel-Update inklusive Neustart.
Zudem stellte das Sicherheitsteam der Programmiersprache Go klar, dass der Fehler nicht isoliert auf MPTCP beschränkt ist, Go das Protokoll jedoch seit Version 1.24 für Linux-Listening-Sockets standardmäßig aktiviert hat.