Ing. Calogero Bono
Een kritieke kwetsbaarheid in de TCP IPv4-code van de Linux-kernel, gevolgd als CVE-2026-98432, kan leiden tot het uitvoeren van code op afstand. Red Hat heeft op 1 november gecorrigeerde kernels uitgebracht voor RHEL 8, 9 en 10. Canonical heeft op 2 november de correcties voor Ubuntu 22.04, 24.04 en 26.04 LTS in het testkanaal -proposed gezet, zonder datum voor de reguliere update. Voor wie blootgestelde servers beheert is de keuze – wachten of nu installeren.
Een paar begrippen voordat we naar de feiten gaan. CVE is de code die een bekende kwetsbaarheid identificeert. CVSS is de schaal van 0 tot 10 die de ernst meet, hier 9.8. Use-after-free is een fout waarbij het programma geheugen leest dat al is vrijgegeven. -proposed is het Ubuntu-kanaal waar updates in test blijven en zichzelf niet installeren. MPTCP is Multipath TCP, een variant van het protocol die meerdere netwerkroutes gebruikt.
Wat is de kwetsbaarheid CVE-2026-98432?
Volgens de reconstructie van The Hacker News geeft de kernel, wanneer een server een TCP IPv4-verbinding accepteert, de IP-opties van het verzoek door aan het nieuwe socket zonder ze te kopieren. Als de client het verzoek opnieuw verstuurt terwijl een andere processor die opties nog leest, kan de kernel geheugen lezen dat al is vrijgegeven.
Een aanvaller stuurt verzoeken met IPv4-opties Record Route of Timestamp naar een willekeurige luisterende TCP-poort. Er is geen toegang nodig. Het belangrijkste IPv6-pad is niet betrokken. De fout is aanwezig vanaf kernel 4.4 en de upstream-correctie is in oktober uitgebracht.
Hoe ernstig is het en circuleert er een exploit?
Het CVE-team van de kernel kent een 9.8 op 10 toe. Red Hat begon met een 5.9 Moderate en verhoogde de score daarna naar 9.8, en noemde de fout Critical. Amazon Linux geeft 8.1, Important, en spreekt vooral over crashes met mogelijke geheugencorruptie.
Geen enkele leverancier, CERT of kernelteam heeft aanvallen gemeld, en eind oktober stond de fout niet in de CISA-catalogus van actief misbruikte kwetsbaarheden. Anthropic heeft verklaard dat een intern onderzoeksmodel een root-exploit heeft geschreven voor servers met een MPTCP-listener, maar heeft de code niet gepubliceerd. Op GitHub staat alleen code die de kritieke race-conditie activeert, zonder codeuitvoering.
Welke Ubuntu-versies zijn getroffen en hoe installeer je de patch?
Volgens de officiele Ubuntu-blog heeft Jammy (22.04) kernel 5.15.0-203.213 in -proposed, Noble (24.04) 6.8.0-149.149 en Resolute (26.04) 7.0.0-43.43. Stonking (26.10) is al gecorrigeerd met 7.3.0-10.10. Voor Focal, Bionic en Xenial is de correctie onderweg, Trusty is niet getroffen.
Met uname -r controleer je de kernel die draait. Om de fix vooruit te lopen activeer je -proposed met add-apt-repository, installeer je met apt install -t de aangegeven versie en start je opnieuw op. Canonical test updates op meer dan 2.000 gecertificeerde servers en apparaten voordat de reguliere uitrol plaatsvindt. Voor oudere versies is Ubuntu Pro met ESM nodig.
Als je pakketten handmatig beheert, helpt onze gids over apt en dnf bij de stappen.
Bestaan er mitigaties, en volstaat het MPTCP uit te schakelen?
Nee, MPTCP alleen uitschakelen is niet genoeg. De fout zit in het TCP IPv4-pad en niet in MPTCP, en Canonical herhaalt dat voor het Ubuntu Security Team updates de enige passende mitigatie zijn. Het advies over het protocol komt alleen voort uit het feit dat de exploit van Anthropic het gebruikt.
Red Hat heeft op 30 oktober een nftables-regel gepubliceerd die TCP IPv4-pakketten met IP-opties weigert. Die blokkeert de bekende trigger maar voorkomt misbruik niet helemaal en kan diensten breken die deze opties gebruiken. Ze werkt alleen op de host waar ze is geladen, en verkeer tussen containers op dezelfde machine kan haar omzeilen. Voor de netwerkregels kun je beginnen met de gids over Linux-netwerkconfiguratie.
Beperkingen om te kennen
Er is geen datum voor de reguliere uitrol van Ubuntu. De cloud-, FIPS- en real-time-varianten zijn nog in bewerking, terwijl de post van Canonical alleen de generieke kernel dekt. De exploit van Anthropic is niet openbaar en de effectiviteit ervan is een verklaring van het bedrijf, niet door derden gecontroleerd. Het beeld van echte aanvallen kan snel veranderen.
Wat verandert er voor wie met digitale systemen werkt
Als je Ubuntu 22.04, 24.04 of 26.04-servers beheert die op internet staan, moet je nu beslissen of je -proposed gebruikt of wacht. Op RHEL 8, 9 en 10 volstaat het de update te installeren en opnieuw op te starten. De herstart moet worden gepland, dus je hebt een onderhoudsvenster nodig. Let ook op containers en virtuele machines, want die erven de kernel van de host. Wie een beheerde hosting gebruikt, kan beter de leverancier vragen naar de status van de patch.
Ons oordeel
De keuze van Canonical is technisch voorzichtig, maar laat servers die de patch het hardst nodig hebben dagenlang onbeschermd. Een 9.8 die zonder authenticatie bereikbaar is, verdient een snellere route, en het risico bij de beheerder leggen via -proposed is alleen aanvaardbaar als het goed wordt uitgelegd. Het blog doet dat, maar de vertraging bij oudere versies blijft een probleem. Het is wel terecht dat het advies om MPTCP uit te schakelen duidelijk is weerlegd.
Veelgestelde vragen
Wordt CVE-2026-98432 al misbruikt?
Er zijn geen aanvallen gemeld door leveranciers, CERT of het kernelteam. De bug stond op 30 oktober niet in de CISA-catalogus. Er bestaan wel een exploit die Anthropic heeft aangekondigd en niet heeft gepubliceerd, en testcode op GitHub.
Hoe controleer ik of mijn Ubuntu kwetsbaar is?
Voer uname -r uit en vergelijk de versie met de tabel van Canonical. Je ziet de geinstalleerde pakketten met dpkg -l 'linux-image*'. Na de update is ook een herstart nodig.
Kan ik de patch uit -proposed installeren?
Ja, als je accepteert dat je een kanaal gebruikt dat nog in test is. Je activeert -proposed en installeert de kernel expliciet, want die wordt niet automatisch bijgewerkt. Daarna herstart je.
Lost het uitschakelen van MPTCP het probleem op?
Nee. De fout zit in TCP IPv4 en niet in MPTCP, zoals Canonical benadrukt. Het advies komt alleen voort uit de exploit die Anthropic beschrijft.
En voor Ubuntu 20.04 of ouder?
Voorlopig is er geen fix. Focal, Bionic en Xenial staan in de wachtrij en lopen via Ubuntu Pro met ESM. Trusty is niet getroffen.
Waar je de komende dagen op moet letten bij Ubuntu-kernels
Het gaat om de reguliere uitrol van Canonical en om de eventuele publicatie van de exploit.
- Volg de CVE-pagina van Ubuntu voor de uitgavedatum in het updatekanaal en voor de cloudvarianten.
- Controleer of er meldingen van aanvallen verschijnen of of de kwetsbaarheid in de CISA-catalogus komt.
- Plan een herstartvenster voor blootgestelde servers, zodat je de patch toepast zodra die beschikbaar is.
