Ing. Calogero Bono
Una falla critica nel codice TCP IPv4 del kernel Linux, tracciata come CVE-2026-98432, può portare a esecuzione di codice da remoto. Red Hat ha pubblicato i kernel corretti per RHEL 8, 9 e 10 il 1 novembre. Canonical, il 2 novembre, ha messo le correzioni per Ubuntu 22.04, 24.04 e 26.04 LTS nel canale di test -proposed, senza una data per l'aggiornamento regolare. Per chi gestisce server esposti la scelta è tra attendere e installare subito.
Qualche termine, prima di entrare nei fatti. CVE è il codice che identifica una vulnerabilità nota. CVSS è la scala da 0 a 10 che ne misura la gravità, qui 9.8. Use-after-free è un errore in cui il programma legge memoria già liberata. -proposed è il canale di Ubuntu dove gli aggiornamenti restano in prova e non si installano da soli. MPTCP è Multipath TCP, una variante del protocollo che usa più percorsi di rete.
Che cos'è la falla CVE-2026-98432?
Secondo la ricostruzione di The Hacker News, quando un server accetta una connessione TCP IPv4 il kernel passa le opzioni IP della richiesta al nuovo socket senza copiarle. Se il client ritrasmette la richiesta mentre un altro processore legge ancora quelle opzioni, il kernel può leggere memoria già liberata.
Chi attacca invia richieste con opzioni IPv4 Record Route o Timestamp a una qualsiasi porta TCP in ascolto. Non serve alcun accesso. Sul percorso principale IPv6 non è coinvolto. Il difetto è presente dal kernel 4.4 e la correzione upstream è arrivata a ottobre.
Quanto è grave e c'è un exploit in circolazione?
Il team CVE del kernel assegna 9.8 su 10. Red Hat era partita da un 5.9 Moderate e poi ha alzato il punteggio a 9.8, definendo la falla Critical. Amazon Linux la valuta 8.1, Important, e parla soprattutto di crash con possibile corruzione della memoria.
Nessun fornitore, CERT o team del kernel ha segnalato attacchi, e a fine ottobre non era nel catalogo CISA delle vulnerabilità sfruttate. Anthropic ha dichiarato che un modello di ricerca interno ha scritto un exploit root per server con listener MPTCP, ma non ha pubblicato il codice. Su GitHub esiste solo codice che innesca la corsa critica, senza esecuzione di codice.
Quali versioni di Ubuntu sono coinvolte e come si installa la patch?
Secondo il blog ufficiale di Ubuntu, Jammy (22.04) ha il kernel 5.15.0-203.213 in -proposed, Noble (24.04) il 6.8.0-149.149 e Resolute (26.04) il 7.0.0-43.43. Stonking (26.10) è già corretta con la 7.3.0-10.10. Per Focal, Bionic e Xenial la correzione è in arrivo, mentre Trusty non è coinvolta.
Con uname -r controlli il kernel in uso. Per anticipare il fix abiliti -proposed con add-apt-repository, installi con apt install -t la versione indicata e riavvii. Canonical collauda gli aggiornamenti su oltre 2.000 server e dispositivi certificati prima del rilascio regolare. Per le versioni più vecchie serve Ubuntu Pro con ESM.
Se gestisci pacchetti a mano, la nostra guida a apt e dnf aiuta con i passaggi.
Esistono mitigazioni, e basta disattivare MPTCP?
No, disattivare MPTCP da solo non basta. Il difetto sta nel percorso TCP IPv4 e non in MPTCP, e Canonical ribadisce che per l'Ubuntu Security Team gli aggiornamenti sono l'unica mitigazione appropriata. Il consiglio sul protocollo nasce solo dal fatto che l'exploit descritto da Anthropic l'usa.
Red Hat ha pubblicato il 30 ottobre una regola nftables che scarta i pacchetti TCP IPv4 con opzioni IP. Blocca il trigger noto ma non impedisce del tutto lo sfruttamento e può rompere servizi che usano quelle opzioni. Agisce solo sull'host dove è caricata, e il traffico tra container sulla stessa macchina può aggirarla. Per capire le regole di rete puoi partire dalla guida alla configurazione di rete Linux.
Limiti da conoscere
Non c'è una data per il rilascio regolare di Ubuntu. Le varianti cloud, FIPS e real-time risultano ancora in lavorazione, mentre il post di Canonical copre solo il kernel generico. L'exploit di Anthropic non è pubblico e la sua efficacia è una dichiarazione dell'azienda, non verificata da terzi. Il quadro sugli attacchi reali può cambiare in fretta.
Cosa cambia per chi lavora con il digitale
Se amministri server Ubuntu 22.04, 24.04 o 26.04 esposti a Internet, devi decidere ora se usare -proposed o aspettare. Su RHEL 8, 9 e 10 basta installare l'aggiornamento e riavviare. Il riavvio va pianificato, quindi serve una finestra di manutenzione. Controlla anche container e macchine virtuali, perché ereditano il kernel dell'host. Chi usa un hosting gestito dovrebbe chiedere al fornitore lo stato della patch.
Il nostro parere
La scelta di Canonical è prudente sul piano tecnico, ma lascia scoperti per giorni i server che hanno più bisogno della patch. Un 9.8 raggiungibile senza autenticazione merita un percorso più rapido, e spostare il rischio sull'amministratore con -proposed è accettabile solo se è spiegato bene. Il blog lo fa, ma il ritardo sulle versioni più vecchie resta un problema. Va riconosciuto che il consiglio di spegnere MPTCP è stato smentito con chiarezza.
Domande frequenti
CVE-2026-98432 è già sfruttata?
Non risultano attacchi segnalati da fornitori, CERT o team del kernel. Il bug non era nel catalogo CISA al 30 ottobre. Esistono però un exploit dichiarato da Anthropic e non pubblicato e codice di prova su GitHub.
Come controllo se il mio Ubuntu è vulnerabile?
Esegui uname -r e confronta la versione con la tabella di Canonical. Puoi vedere i pacchetti installati con dpkg -l 'linux-image*'. Serve anche il riavvio dopo l'aggiornamento.
Posso installare la patch da -proposed?
Sì, se accetti di usare un canale ancora in collaudo. Abiliti -proposed e installi esplicitamente il kernel, perché non si aggiorna in automatico. Poi riavvii.
Disattivare MPTCP risolve il problema?
No. La falla è nel TCP IPv4 e non in MPTCP, come ricorda Canonical. Il consiglio nasce solo dall'exploit descritto da Anthropic.
E per Ubuntu 20.04 o più vecchie?
Per ora non c'è un fix. Focal, Bionic e Xenial risultano in attesa e passano da Ubuntu Pro con ESM. Trusty non è coinvolta.
Cosa guardare nei prossimi giorni sui kernel Ubuntu
La partita si gioca sul rilascio regolare di Canonical e sull'eventuale pubblicazione dell'exploit.
- Segui la pagina CVE di Ubuntu per la data di uscita nel canale updates e per le varianti cloud.
- Verifica se compaiono segnalazioni di attacchi o l'inserimento nel catalogo CISA.
- Prepara una finestra di riavvio per i server esposti, così da applicare la patch appena disponibile.
