Критическая уязвимость ядра Linux допускает удаленные атаки на MPTCP-серверы

Специалисты по безопасности компании Anthropic разработали рабочий эксплойт для уязвимости в ядре Linux, зарегистрированной под идентификатором критическая уязвимость ядра Linux CVE-2026-98432. Данная брешь позволяет неавторизованным злоумышленникам удаленно выполнять произвольные команды с правами суперпользователя (root) на серверах, задействующих прослушиватели Multipath TCP (MPTCP).

Проблема также затрагивает стандартные соединения TCP, однако публичной демонстрации удаленного выполнения кода на хостах без активированного MPTCP-слушателя до сих пор не проводилось. Технология Multipath TCP дает возможность одному соединению задействовать несколько сетевых маршрутов параллельно ради повышения производительности и надежности связи. Подобный подход востребован в сценариях, где устройство обладает несколькими вариантами подключения вроде Wi-Fi и сотовых сетей.

Особенности уязвимости и технические детали

Уязвимость CVE-2026-98432 представляет собой ошибку типа use-after-free в подсистеме сетевого взаимодействия IPv4 TCP ядра. Команда рассмотрения CVE ядра Linux оценила эту проблему в 9.8 балла из 10 возможных. Дефект затрагивает версии ядер Linux, начиная с выпуска 4.4, включая такие популярные дистрибутивы, как Ubuntu, Red Hat Enterprise Linux и Rocky Linux.

Согласно официальным бюллетеням безопасности ядра, сбой возникает из-за состояния гонки (race condition) при обработке ядром запросов на установку TCP-соединений, что приводит к состоянию use-after-free. В описании механизмов проблемы указывается, что функция tcp_v4_syn_recv_sock() передает владение структурой ireq->ireq_opt дочернему сокету без выполнения копирования. В этот момент другой процессор может параллельно обработать повторно переданный SYN-пакет для того же сокета запроса и отправить SYNACK. В результате одновременного чтения параметров несколькими функциями возникает уязвимое состояние памяти.

Аналогичные неполадки могут возникать во время миграции сокетов запросов TCP при включенном параметре net.ipv4.tcp_migrate_req или при использовании специализированных программ BPF_SK_REUSEPORT_SELECT_OR_MIGRATE. Хотя для инициализации уязвимости не требуется проходить процедуру аутентификации, в компании Red Hat отмечают, что эксплуатация подобной гонки сопряжена с определенными сложностями и требует больше усилий, чем простая отправка вредоносного сетевого пакета.

Оценка опасности и применение ИИ

Специалисты Red Hat первоначально классифицировали проблему как потенциальный отказ в обслуживании (DoS), способный спровоцировать аварийное падение ядра, присвоив ей более низкий балл опасности 5.9 из-за сложности практической реализации атаки. Тем не менее, эксперты Anthropic наглядно показали возможность применения данной бреши для удаленного выполнения произвольного кода при соблюдении определенных условий.

В опубликованном отчете компании отмечается, что необеспеченная публичным релизом языковая модель Claude смогла самостоятельно разработать эксплойт, который успешно обошел рандомизацию пространства адресного пространства ядра (KASLR) и выполнил команды от имени root на сервере с активным MPTCP-слушателем. На подготовку и выполнение успешной атаки у ИИ-модели ушло около 53 минут, что подчеркивает серьезность угрозы, выходящую далеко за рамки простого нарушения работоспособности.

Хотя протокол MPTCP редко задействован по умолчанию в пользовательских приложениях, некоторое программное обеспечение активирует его самостоятельно. Начиная с версии Go 1.24, этот язык программирования включает MPTCP по умолчанию для TCP-слушателей в средах Linux, если текущая версия ядра поддерживает такую функцию. Из-за этого отдельные сетевые службы на базе Go могут автоматически активировать уязвимые компоненты без ведома системных администраторов.

Выпуск исправлений дистрибутивами Linux

Разработчики устранили уязвимость в базовой ветке ядра Linux, после чего исправления были перенесены в поддерживаемые стабильные ветки. Тем не менее, оперативные обновления безопасности поступают в официальные репозитории дистрибутивов постепенно.

По данным систем отслеживания угроз Canonical, версии Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS и свежая 26.10 оставались уязвимыми на момент конца октября, а выпуск патчей для них находился в активной разработке. В компании Red Hat подтвердили подверженность платформ RHEL 8, 9 и 10, пообещав включить исправления в будущие плановые обновления, при этом старая ветка RHEL 7 избежала угрозы из-за отсутствия уязвимого кода в ядре.

Поставщик корпоративной поддержки CIQ выпустил рекомендации для Rocky Linux версий 8, 9 и 10, подтвердив их уязвимость и предложив временные защитные правила межсетевого экрана. В трекере безопасности Debian указано, что исправления уже вошли в состав пакетов ядра версии 6.1.190-1 для Debian 12 (Bookworm) и 6.12.113-1 для Debian 13 (Trixie), а также стали доступны в тестовых репозиториях. Аналогичные апдейты подготовили и другие вендоры, включая Oracle Linux, Amazon Linux и SUSE.

Важно отметить, что операционная система macOS не подвержена данной проблеме, поскольку использует архитектуру XNU от Apple, а не ядро Linux. Администраторам рекомендуется регулярно проверять бюллетени безопасности используемых дистрибутивов и незамедлительно устанавливать свежие пакеты ядер по мере их официального релиза.

На серверах, где исправления пока не установлены, можно снизить риски с помощью ограничения сетевого доступа из доверенных зон и сетей. Компания CIQ также советует временно блокировать входящие IPv4 TCP-пакеты с опциями IP на уровне файрвола, используя правила nftables. При этом эксперты напоминают, что простое отключение MPTCP не решает проблему полностью, так как исходная уязвимость сохраняет активность и при обработке обычного TCP-трафика. На текущий момент подтвержденных инцидентов реального применения CVE-2026-98432 злоумышленниками в публичной сети зафиксировано не было.

Анализ реальных угроз и защиты

Общие метрики эффективности средств защиты нередко скрывают реальную картину того, что происходит на инфраструктуре после первоначального проникновения злоумышленников в периметр. Когда атакующие уже завладели валидными учетными данными пользователей, показатели предотвращения угроз со стороны защитного ПО резко снижаются.

Специализированные отчеты по кибербезопасности, такие как Blue Report 2026, детально оценивают устойчивость защитных механизмов для каждого отдельного метода атаки. Подобные выводы делаются на основе сотен миллионов симуляций, проведенных в реальных производственных средах корпоративных клиентов.