Ing. Calogero Bono
Una falla critica nel codice TCP IPv4 del kernel Linux, tracciata come CVE-2026-98432, può portare a esecuzione di codice da remoto. Red Hat ha pubblicato i kernel corretti per RHEL 8, 9 e 10 il 1 novembre. Canonical, il 2 novembre, ha messo le correzioni per Ubuntu 22.04, 24.04 e 26.04 LTS nel canale di test -proposed, senza una data per l'aggiornamento regolare. Per chi gestisce server esposti la scelta è tra attendere e installare subito.
Kilka terminów, zanim przejdziemy do faktów. CVE è il codice che identifica una vulnerabilità nota. CVSS è la scala da 0 a 10 che ne misura la gravità, qui 9.8. Use-after-free è un errore in cui il programma legge memoria già liberata. -proposed è il canale di Ubuntu dove gli aggiornamenti restano in prova e non si installano da soli. MPTCP è Multipath TCP, una variante del protocollo che usa più percorsi di rete.
Czym jest luka CVE-2026-98432?
Według relacji The Hacker News, gdy serwer akceptuje połączenie TCP IPv4, kernel przekazuje opcje IP żądania do nowego gniazda bez ich kopiowania. Jeśli klient ponownie wysyła żądanie, a inny procesor wciąż odczytuje te opcje, kernel może odczytać pamięć już zwolnioną.
Atakujący wysyła żądania z opcjami IPv4 Record Route lub Timestamp na dowolny nasłuchujący port TCP. Nie jest potrzebny żaden dostęp. Główna ścieżka IPv6 nie jest objęta problemem. Błąd występuje od kernela 4.4, a poprawka upstream pojawiła się w październiku.
Jak poważna jest luka i czy istnieje exploit?
Zespół CVE kernela przypisuje ocenę 9.8 w skali 10. Red Hat zaczynała od 5.9 Moderate, a potem podniosła wynik do 9.8, klasyfikując lukę jako Critical. Amazon Linux ocenia ją na 8.1, Important, i mówi głównie o awariach z możliwym uszkodzeniem pamięci.
Żaden dostawca, CERT ani zespół kernela nie zgłosił ataków, a pod koniec października luki nie było w katalogu CISA dotyczącym wykorzystywanych podatności. Anthropic oświadczyło, że wewnętrzny model badawczy napisał exploit uzyskujący root na serwerach z nasłuchem MPTCP, ale kodu nie opublikowano. Na GitHubie istnieje wyłącznie kod wywołujący krytyczny wyścig, bez wykonania kodu.
Jakie wersje Ubuntu są objęte i jak zainstalować poprawkę?
Według oficjalnego bloga Ubuntu, Jammy (22.04) ma kernel 5.15.0-203.213 w -proposed, Noble (24.04) 6.8.0-149.149, a Resolute (26.04) 7.0.0-43.43. Stonking (26.10) jest już poprawiony w wersji 7.3.0-10.10. Dla Focal, Bionic i Xenial poprawka jest w drodze, a Trusty nie jest objęta.
Za pomocą uname -r sprawdzisz używany kernel. Aby przyspieszyć poprawkę, włącz -proposed poleceniem add-apt-repository, zainstaluj wskazaną wersję poleceniem apt install -t i zrestartuj system. Canonical testuje aktualizacje na ponad 2000 certyfikowanych serwerów i urządzeń przed regularnym wydaniem. Starsze wersje wymagają Ubuntu Pro z ESM.
Jeśli zarządzasz pakietami ręcznie, nasz przewodnik po apt i dnf pomoże w tych krokach.
Istnieją środki zaradcze i wystarczy wyłączyć MPTCP?
Nie, samo wyłączenie MPTCP nie wystarczy. Błąd leży w ścieżce TCP IPv4, a nie w MPTCP, a Canonical podkreśla, że dla Ubuntu Security Team aktualizacje są jedynym właściwym rozwiązaniem. Rada dotycząca protokołu wynika wyłącznie z tego, że opisany przez Anthropic exploit go wykorzystuje.
30 października Red Hat opublikowała regułę nftables odrzucającą pakiety TCP IPv4 z opcjami IP. Blokuje ona znany wyzwalacz, ale nie uniemożliwia całkowicie wykorzystania luki i może zepsuć usługi korzystające z tych opcji. Działa tylko na hoście, na którym jest załadowana, a ruch między kontenerami na tej samej maszynie może ją ominąć. Zasady sieciowe wyjaśnimy w przewodniku po konfiguracji sieci Linux.
Ograniczenia, o których warto wiedzieć
Non c'è una data per il rilascio regolare di Ubuntu. Le varianti cloud, FIPS e real-time risultano ancora in lavorazione, mentre il post di Canonical copre solo il kernel generico. L'exploit di Anthropic non è pubblico e la sua efficacia è una dichiarazione dell'azienda, non verificata da terzi. Il quadro sugli attacchi reali può cambiare in fretta.
Co się zmienia dla osób pracujących w cyfrowym świecie
Se amministri server Ubuntu 22.04, 24.04 o 26.04 esposti a Internet, devi decidere ora se usare -proposed o aspettare. Su RHEL 8, 9 e 10 basta installare l'aggiornamento e riavviare. Il riavvio va pianificato, quindi serve una finestra di manutenzione. Controlla anche container e macchine virtuali, perché ereditano il kernel dell'host. Chi usa un hosting gestito dovrebbe chiedere al fornitore lo stato della patch.
Nasza opinia
La scelta di Canonical è prudente sul piano tecnico, ma lascia scoperti per giorni i server che hanno più bisogno della patch. Un 9.8 raggiungibile senza autenticazione merita un percorso più rapido, e spostare il rischio sull'amministratore con -proposed è accettabile solo se è spiegato bene. Il blog lo fa, ma il ritardo sulle versioni più vecchie resta un problema. Va riconosciuto che il consiglio di spegnere MPTCP è stato smentito con chiarezza.
Najczęstsze pytania
CVE-2026-98432 è già sfruttata?
Non risultano attacchi segnalati da fornitori, CERT o team del kernel. Il bug non era nel catalogo CISA al 30 ottobre. Esistono però un exploit dichiarato da Anthropic e non pubblicato e codice di prova su GitHub.
Come controllo se il mio Ubuntu è vulnerabile?
Esegui uname -r e confronta la versione con la tabella di Canonical. Puoi vedere i pacchetti installati con dpkg -l 'linux-image*'. Serve anche il riavvio dopo l'aggiornamento.
Posso installare la patch da -proposed?
Sì, se accetti di usare un canale ancora in collaudo. Abiliti -proposed e installi esplicitamente il kernel, perché non si aggiorna in automatico. Poi riavvii.
Disattivare MPTCP risolve il problema?
No. La falla è nel TCP IPv4 e non in MPTCP, come ricorda Canonical. Il consiglio nasce solo dall'exploit descritto da Anthropic.
E per Ubuntu 20.04 o più vecchie?
Per ora non c'è un fix. Focal, Bionic e Xenial risultano in attesa e passano da Ubuntu Pro con ESM. Trusty non è coinvolta.
Cosa guardare nei prossimi giorni sui kernel Ubuntu
La partita si gioca sul rilascio regolare di Canonical e sull'eventuale pubblicazione dell'exploit.
- Segui la pagina CVE di Ubuntu per la data di uscita nel canale updates e per le varianti cloud.
- Verifica se compaiono segnalazioni di attacchi o l'inserimento nel catalogo CISA.
- Prepara una finestra di riavvio per i server esposti, così da applicare la patch appena disponibile.
