· di NetProtector Security Team
CVE-2026-98432: vulnerabilità critica nello stack TCP del kernel Linux
Una vulnerabilità nello stack TCP del kernel Linux può essere attivata via rete senza autenticazione e, nel peggiore dei casi, può portare all'ottenimento dei privilegi di root. Il difetto è presente nel codice da Linux 4.4, quindi da quasi dieci anni. Le patch sono disponibili, ma non sono ancora arrivate in tutte le distribuzioni.
Che cos'è CVE-2026-98432?
Si tratta di un errore di tipo use-after-free nella gestione delle connessioni TCP IPv4, valutato con CVSS 3.1 9.8 (critico). Durante l'instaurazione della connessione, il kernel trasferisce le opzioni IPv4 dalla richiesta di connessione al nuovo socket. Da Linux 4.4 questi passaggi vengono eseguiti senza un lock sul socket in ascolto. Se un pacchetto SYN ritrasmesso arriva su un altro core del processore mentre il nuovo socket viene liberato, il kernel legge memoria già liberata.
Per un attacco occorrono:
- accesso di rete a un servizio TCP IPv4 di un sistema non aggiornato,
- un pacchetto di connessione con opzioni IPv4 (ad es. Record Route o Timestamp) e la sua ritrasmissione,
- nessuna credenziale e nessuna interazione da parte di un utente.
Una race condition persa fa semplicemente fallire l'instaurazione della connessione: un attaccante può quindi riprovare un numero illimitato di volte.
Quanto è pericolosa concretamente?
Il difetto è stato segnalato da un ricercatore di Anthropic. Il 27 ottobre 2026 Anthropic ha riferito di un exploit che ottiene i privilegi di root su server con un listener Multipath TCP (MPTCP); l'exploit non è stato pubblicato. All'inizio di novembre non era noto alcun exploit pubblico funzionante e la vulnerabilità non era elencata nel catalogo KEV dell'agenzia statunitense CISA. La situazione può cambiare rapidamente.
Importante: il team di sicurezza di Go segnala che Go, a partire dalla versione 1.24, abilita MPTCP per impostazione predefinita sui listener Linux. I servizi scritti in Go possono quindi soddisfare il prerequisito dell'exploit noto senza che nessuno lo abbia attivato consapevolmente.
Versioni interessate e corrette
Sono interessati tutti i kernel a partire dalla 4.4 privi della correzione. Il difetto è corretto in Linux 7.3 e nelle versioni stable 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 e 7.2.10. Debian, SUSE, Oracle Linux e Amazon Linux hanno già rilasciato kernel corretti per parte delle loro release; Red Hat classifica la vulnerabilità come critica. A fine ottobre gli aggiornamenti per RHEL e Ubuntu erano ancora in sospeso; secondo alcune fonti, per RHEL sono stati rilasciati all'inizio di novembre. Lo stato aggiornato è riportato nell'advisory della vostra distribuzione.
Cosa fare subito
-
Aggiornare il kernel e riavviare: un kernel installato ma non avviato non offre protezione. Con
uname -rverificate quale kernel è effettivamente in esecuzione. -
Ridurre la superficie di attacco fino all'aggiornamento:
sysctl -w net.mptcp.enabled=0 sysctl -w net.ipv4.tcp_migrate_req=0Per rendere permanente l'impostazione, utilizzate un file in
/etc/sysctl.d/. Ciò riduce la probabilità di sfruttamento, ma non la impedisce completamente. -
Individuare i listener MPTCP:
ss -M -l -n -pmostra i servizi che offrono Multipath TCP: verificate in particolare le applicazioni Go. -
Filtrare le opzioni IPv4 ove possibile: scartare al perimetro i pacchetti con opzioni IP protegge ulteriormente i servizi esposti. Verificate prima se le applicazioni ne hanno bisogno.
La nostra valutazione
Le vulnerabilità del kernel sfruttabili via rete sono rare, ma particolarmente insidiose: riguardano ogni servizio, non solo una singola applicazione, e anche appliance, router o host di container basati su Linux. Oltre a un'applicazione tempestiva delle patch, è utile un'architettura di rete che renda raggiungibili solo i servizi che devono realmente esserlo, insieme a un sistema di intrusion prevention in grado di rilevare e bloccare pacchetti anomali come le connessioni TCP con opzioni IP.