Red Hat исправила критическую RCE-уязвимость в Linux TCP
Red Hat выпустила обновления для RHEL 8, 9 и 10, закрывающие CVE-2026-98432 — уязвимость use-after-free в IPv4 TCP-стеке ядра Linux. Команда CVE проекта Linux оценила проблему в 9,8 балла из 10 по CVSS; Red Hat повысила собственную оценку с 5,9 до критической. Удалённый атакующий без учётных данных может использовать дефект для выполнения кода.
Исправленные версии ядра: 4.18.0-553.182.1.el8_10 для RHEL 8.10, 5.14.0-687.64.1.el9_8 для RHEL 9.8 и 6.12.0-211.72.1.el10_2 для RHEL 10.2. Бюллетени RHSA-2026:93414, RHSA-2026:93412 и RHSA-2026:93413 были опубликованы 1 ноября. После установки пакетов требуется перезагрузка.
Как работает ошибка в TCP
При принятии IPv4 TCP-соединения ядро передаёт IP-опции из входящего запроса новому сокету без копирования. Если клиент повторно отправляет запрос на соединение в момент, когда другой процессор ещё читает эти опции, код ядра может обратиться к уже освобождённой памяти.
Для запуска гонки атакующему нужно направлять запросы на любой открытый TCP-порт, добавляя IPv4-опции Record Route или Timestamp. Основной IPv6-путь не затронут. Дефект присутствует в ядре начиная с Linux 4.4, а исправление в основной ветке проекта появилось в октябре.
Риск для изолированных сред становится нагляднее, когда Эксплойт CVE-2026-80521 выводит контейнеры Ubuntu к root хоста показывает, как уязвимость может привести от контейнера к правам root на хосте. При этом в описанном случае CVE-2026-98432 речь идёт о сетевом пути IPv4 TCP и удалённом обращении к слушающему порту.
Статус обновлений Ubuntu и временная мера
Canonical поместила исправленные ядра для Ubuntu 22.04 LTS, 24.04 LTS и 26.04 LTS в канал -proposed. Это тестовый канал, пакеты из которого не устанавливаются автоматически. Для Jammy указана версия 5.15.0-203.213, для Noble — 6.8.0-149.149, для Resolute — 7.0.0-43.43. Canonical тестирует обновления ядра более чем на 2 000 сертифицированных серверов и устройств, но дату переноса в обычный канал не назвала.
Для Ubuntu 20.04, 18.04 и 16.04 исправления на момент публикации отсутствовали. Обновления для старых выпусков требуют Expanded Security Maintenance через Ubuntu Pro. Варианты ядер для облака, FIPS и реального времени на странице CVE Canonical отмечены как находящиеся в работе.
Red Hat опубликовала правило nftables, которое отбрасывает входящие IPv4 TCP-пакеты с IP-опциями. Компания подчёркивает, что фильтр блокирует известный триггер, но не обеспечивает полной защиты и способен нарушить приложения, использующие IPv4-опции. Кроме того, трафик между контейнерами на одном хосте может обойти это правило. Canonical не считает отключение MPTCP достаточной мерой, поскольку дефект находится в IPv4 TCP-пути, а не в самом MPTCP.
Что проверить администраторам
Ни один поставщик, CERT или команда CVE ядра не сообщали об атаках с применением CVE-2026-98432, а в каталоге CISA Known Exploited Vulnerabilities уязвимость не значилась. Anthropic при этом сообщила, что внутренней исследовательской модели Claude удалось создать работающий удалённый root-эксплойт для серверов Linux со слушателем MPTCP; код не опубликован.
Бизнесу стоит сопоставить вывод uname -r с исправленными версиями для своего дистрибутива, установить штатные обновления и перезагрузить узлы. До выхода обычного обновления Ubuntu решение о подключении -proposed следует принимать с учётом статуса этого тестового канала; временная фильтрация не заменяет обновление ядра.