Ing. Calogero Bono
Uma falha crítica no código TCP IPv4 do kernel Linux, catalogada como CVE-2026-98432, pode levar à execução remota de código. A Red Hat publicou os kernels corrigidos para RHEL 8, 9 e 10 em 1º de novembro. A Canonical, em 2 de novembro, colocou as correções para Ubuntu 22.04, 24.04 e 26.04 LTS no canal de testes -proposed, sem data para a atualização regular. Para quem administra servidores expostos, a escolha é entre esperar e instalar já.
Alguns termos, antes de entrar nos fatos. CVE é o código que identifica uma vulnerabilidade conhecida. CVSS é a escala de 0 a 10 que mede sua gravidade, aqui 9.8. Use-after-free é um erro em que o programa lê memória já liberada. -proposed é o canal do Ubuntu onde as atualizações ficam em teste e não se instalam sozinhas. MPTCP é o Multipath TCP, uma variante do protocolo que usa múltiplos caminhos de rede.
O que é a falha CVE-2026-98432?
Segundo a reconstrução do The Hacker News, quando um servidor aceita uma conexão TCP IPv4 o kernel passa as opções IP da requisição para o novo socket sem copiá-las. Se o cliente retransmite a requisição enquanto outro processador ainda lê essas opções, o kernel pode ler memória já liberada.
Quem ataca envia requisições com opções IPv4 Record Route ou Timestamp a qualquer porta TCP em escuta. Não é preciso nenhum acesso. O caminho principal do IPv6 não está envolvido. O defeito está presente desde o kernel 4.4 e a correção upstream chegou em outubro.
Quão grave é e há exploit em circulação?
A equipe CVE do kernel atribui 9.8 de 10. A Red Hat começou com um 5.9 Moderate e depois elevou a pontuação para 9.8, classificando a falha como Critical. A Amazon Linux a avalia em 8.1, Important, e fala sobretudo de travamentos com possível corrupção de memória.
Nenhum fornecedor, CERT ou equipe do kernel relatou ataques, e no fim de outubro ela não constava no catálogo da CISA de vulnerabilidades exploradas. A Anthropic declarou que um modelo de pesquisa interno escreveu um exploit root para servidores com listener MPTCP, mas não publicou o código. No GitHub existe apenas código que dispara a condição de corrida, sem execução de código.
Quais versões do Ubuntu são afetadas e como instalar o patch?
Segundo o blog oficial do Ubuntu, o Jammy (22.04) tem o kernel 5.15.0-203.213 em -proposed, o Noble (24.04) o 6.8.0-149.149 e o Resolute (26.04) o 7.0.0-43.43. O Stonking (26.10) já está corrigido com o 7.3.0-10.10. Para Focal, Bionic e Xenial a correção está a caminho, enquanto Trusty não é afetada.
Com uname -r você verifica o kernel em uso. Para antecipar a correção, habilite -proposed com add-apt-repository, instale com apt install -t a versão indicada e reinicie. A Canonical testa as atualizações em mais de 2.000 servidores e dispositivos certificados antes do lançamento regular. Para as versões mais antigas é preciso Ubuntu Pro com ESM.
Se você gerencia pacotes manualmente, nosso guia de apt e dnf ajuda com os passos.
Existem mitigações, e basta desativar o MPTCP?
Não, desativar apenas o MPTCP não basta. O defeito está no caminho TCP IPv4 e não no MPTCP, e a Canonical reforça que, para a Ubuntu Security Team, as atualizações são a única mitigação adequada. O conselho sobre o protocolo surge apenas porque o exploit descrito pela Anthropic o utiliza.
A Red Hat publicou em 30 de outubro uma regra nftables que descarta pacotes TCP IPv4 com opções IP. Ela bloqueia o gatilho conhecido, mas não impede totalmente a exploração e pode quebrar serviços que usam essas opções. Atua somente no host onde é carregada, e o tráfego entre containers na mesma máquina pode contorná-la. Para entender as regras de rede, você pode começar pelo guia de configuração de rede Linux.
Limites a conhecer
Não há data para o lançamento regular do Ubuntu. As variantes cloud, FIPS e real-time ainda estão em preparação, enquanto o post da Canonical cobre apenas o kernel genérico. O exploit da Anthropic não é público e sua eficácia é uma afirmação da empresa, não verificada por terceiros. O quadro sobre ataques reais pode mudar rapidamente.
O que muda para quem trabalha com o digital
Se você administra servidores Ubuntu 22.04, 24.04 ou 26.04 expostos à Internet, precisa decidir agora se usa -proposed ou espera. No RHEL 8, 9 e 10 basta instalar a atualização e reiniciar. O reinício precisa ser planejado, então é necessária uma janela de manutenção. Verifique também containers e máquinas virtuais, porque herdam o kernel do host. Quem usa uma hospedagem gerenciada deve perguntar ao fornecedor o status do patch.
Nossa opinião
A escolha da Canonical é prudente do ponto de vista técnico, mas deixa por dias descobertos os servidores que mais precisam do patch. Um 9.8 alcançável sem autenticação merece um caminho mais rápido, e transferir o risco para o administrador com -proposed só é aceitável se for bem explicado. O blog explica, mas o atraso nas versões mais antigas continua sendo um problema. É preciso reconhecer que o conselho de desativar o MPTCP foi desmentido com clareza.
Perguntas frequentes
A CVE-2026-98432 já está sendo explorada?
Não há ataques relatados por fornecedores, CERT ou equipe do kernel. A falha não constava no catálogo da CISA em 30 de outubro. Existem, porém, um exploit declarado pela Anthropic e não publicado, além de código de prova no GitHub.
Como verifico se meu Ubuntu está vulnerável?
Execute uname -r e compare a versão com a tabela da Canonical. Você pode ver os pacotes instalados com dpkg -l 'linux-image*'. Também é preciso reiniciar após a atualização.
Posso instalar o patch a partir de -proposed?
Sim, se você aceitar usar um canal ainda em testes. Habilite -proposed e instale explicitamente o kernel, porque ele não é atualizado automaticamente. Depois reinicie.
Desativar o MPTCP resolve o problema?
Não. A falha está no TCP IPv4 e não no MPTCP, como lembra a Canonical. O conselho surge apenas do exploit descrito pela Anthropic.
E para Ubuntu 20.04 ou versões mais antigas?
Por enquanto não há correção. Focal, Bionic e Xenial estão em espera e passam pelo Ubuntu Pro com ESM. Trusty não é afetada.
O que acompanhar nos próximos dias nos kernels Ubuntu
A questão se decide no lançamento regular da Canonical e na eventual publicação do exploit.
- Acompanhe a página de CVE do Ubuntu para a data de saída no canal updates e para as variantes cloud.
- Verifique se surgem relatos de ataques ou a inclusão no catálogo da CISA.
- Prepare uma janela de reinício para os servidores expostos, para aplicar o patch assim que estiver disponível.
