Критическая дыра в Linux: удалённый запуск кода грозит серверам — ядро пора обновлять
В ядре Linux исправили критическую CVE-2026-98432: ошибка в обработке IPv4/TCP при неблагоприятных условиях может привести к повреждению памяти ядра. В худшем подтверждённом сценарии удалённый атакующий без учётной записи способен добиться выполнения кода на уязвимом сервере.
Это касается владельцев Linux-серверов, которые принимают сетевые соединения, особенно из недоверенных сетей. Главный вопрос сейчас не в том, когда установили систему, а в статусе пакета ядра у конкретного дистрибутива: апстрим уже внёс исправления, но поставщики распространяют их в разном темпе.
Что нашли и почему это важно
Проблема — состояние гонки в сетевом коде: данные параметров соединения могли освобождаться раньше, чем IPv4/TCP закончит их использовать. Такой сбой способен повредить память ядра — самый привилегированный слой операционной системы.
О находке сообщила Anthropic. Компания пишет, что исследовательский вариант Claude обнаружил и проверил цепочку на Linux-сервере с Multipath TCP; публикация состоялась после координированного раскрытия и апстрим-исправления. Детали воспроизведения мы не приводим.
Официальная CVE-запись указывает, что затронут код, появившийся после коммита 2016 года, и ветки начиная с 4.4. Это не означает, что любой сервер автоматически скомпрометирован: риск зависит от конфигурации и условий атаки. Но отсутствие Multipath TCP само по себе не доказывает безопасность — CVE описывает проблему шире проверенной Anthropic конфигурации.
Патч есть, но ждать нельзя
Исправления уже вошли в стабильные ядра 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 и 7.2.10; в основной линии они есть в 7.3. Корпоративные дистрибутивы часто переносят патч в ядро со старым номером версии, поэтому сверять нужно не только цифры, а advisory поставщика.
На 1 ноября Ubuntu отмечает поддерживаемые выпуски как уязвимые, с обновлениями в работе. Red Hat оценивает проблему как Critical, но на странице CVE ещё нет перечня исправленных пакетов; SUSE уже публикует исправленные версии для части продуктов.
Что сделать владельцам серверов
Проверьте установленный пакет ядра по advisory своего дистрибутива, запланируйте штатное обновление и перезагрузку. Пока обновление недоступно, для систем с внешним доступом имеет смысл сократить ненужную сетевую экспозицию по обычным правилам эксплуатации. Это не замена патчу, а временная мера до него.
