Zranitelnost CVE-2026-98432 zasahuje obsluhu TCP spojení v linuxovém jádře. Demonstrovaný útok využil MPTCP, ale samotná chyba na tuto funkci omezena není a dostupnost opravy se liší podle distribuce i varianty jádra.

Na problém 30. října upozornil Root.cz. Tým linuxového jádra mu přidělil CVSS 3.1 ve výši 9,8. Při navazování IPv4 TCP spojení může jedna část jádra uvolnit paměť s IP volbami, zatímco ji jiné procesorové jádro ještě používá při odpovědi na opakovaný požadavek. Jde o souběh vedoucí k použití již uvolněné paměti, tedy use-after-free. Oprava odkládá uvolnění do okamžiku, kdy je bezpečné.

Go Security Team ve svém upozornění z 29. října odkazuje na demonstraci vzdáleného spuštění kódu od Anthropicu na serveru s naslouchajícím MPTCP socketem. MPTCP umožňuje jednomu spojení používat více síťových cest. Tým současně výslovně upozorňuje, že podkladová chyba není specifická pro MPTCP a podobné útoky mohou být možné i bez něj. Demonstraci proto nelze vykládat ani jako důkaz stejně snadného převzetí každého linuxového serveru, ani jako záruku bezpečí po vypnutí jedné funkce.

Pro správce aplikací v Go je podstatné, že od Go 1.24 se MPTCP na Linuxu standardně zapíná pro naslouchající sockety. Nastavení GODEBUG=multipathtcp=0 tento výchozí stav mění, aplikace jej však může přepsat explicitním voláním SetMultipathTCP. Podle bezpečnostního týmu Go je vypínání po jednotlivých aplikacích křehké opatření: stačí ponechat dostupný jeden MPTCP listener a navíc není jisté, že na MPTCP budou záviset všechny funkční exploity. Doporučením je opravené jádro.

Záznam linuxového týmu uvádí zavedení chyby ve verzi 4.4 a opravy ve větvích 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 a 7.3. U distribučních jader je nutné ověřit konkrétní balíček a bezpečnostní oznámení dodavatele, protože opravy se mohou přenášet do jinak číslovaných verzí. Upstreamová oprava sama neznamená, že už je dostupná pro každý podporovaný systém.