Linux-Kernel TCP-Schwachstelle: KI-Exploit für Root

Für die Linux-Kernel TCP-Schwachstelle gibt es jetzt einen funktionierenden Root-Exploit aus der Ferne, gebaut von einem KI-Modell. CVE-2026-98432 (CVSS 9.8) ist ein Use-after-free im IPv4-TCP-Handshake, der seit Kernel 4.4 im Code steckt. Stand 2. November liefern Debian und Red Hat fehlerbereinigte Kernel aus, Ubuntu führt die Korrekturen noch als in Arbeit, und wir haben keine bestätigten Angriffe gefunden.

Was bei der Linux-Kernel TCP-Schwachstelle passiert ist

Trifft ein TCP-SYN-Paket mit IPv4-Optionen ein, behält der Kernel eine Kopie der Optionen beim wartenden Verbindungsaufbau und reicht sie später an den neuen Socket weiter, ohne sie zu duplizieren. Wird ein erneut gesendetes SYN auf einer anderen CPU verarbeitet, kann es diesen Speicher lesen, nachdem er freigegeben wurde. Die CNA des Linux-Kernels bewertet die Lücke mit 9.8 (Netzwerk, keine Rechte nötig), Red Hat stuft sie inzwischen ebenfalls als kritisch mit 9.8 ein.

Am 27. Oktober beschrieben Forscher von Anthropic einen Exploit gegen einen Host mit MPTCP-Listener, der KASLR umgeht und Befehle als root ausführt. BleepingComputer nennt rund 53 Minuten Modellarbeit. AWS schreibt, entfernte Angreifer könnten ein System zum Absturz bringen, Kernelspeicher lesen oder verfälschen; Codeausführung wurde aber nur gegen einen MPTCP-Listener gezeigt, und AWS kennt keine Ausnutzung in freier Wildbahn (Bulletin aktualisiert am 1. November). Go 1.24 und neuer aktivieren MPTCP standardmäßig für TCP-Listener unter Linux, sofern der Kernel es unterstützt. Manche Dienste bieten es also an, ohne dass es jemand bewusst eingeschaltet hat.

Patchstand am 2. November: Debian 12 hat 6.1.190-1, Debian 13 hat 6.12.113-1. RHEL 8, 9 und 10 erhielten am 1. November fehlerbereinigte Kernel (RHSA-2026:93412, 93413 und 93414). Canonicals Tracker führt Ubuntu 22.04, 24.04, 26.04 und 26.10 als in Arbeit. Die Lücke steht in der Version des CISA-KEV-Katalogs vom 30. Oktober nicht drin.

Warum das wichtig ist

Der Fehler steckte rund zehn Jahre im Kernel, und wenige Tage nach der Veröffentlichung gibt es einen funktionierenden Exploit. Einschätzung: Die Zeit zwischen einer bekannten Kernel-Lücke und einem brauchbaren Exploit schrumpft. Patchfristen von mehreren Wochen für Linux-Systeme mit Internetzugang sind damit zu lang.

Annahme: Die Technik ist jetzt gut genug beschrieben, dass andere sie anpassen werden. Auch reine TCP-Listener sind betroffen, obwohl Codeausführung nur mit MPTCP gezeigt wurde. MPTCP abzuschalten verengt also den gezeigten Weg, behebt den Fehler aber nicht. Das tun nur ein Kernel-Update und ein Neustart. Wer unter NIS2 fällt, muss damit rechnen, dass Prüfer nach ungepatchten Internet-Servern fragen.

Was Sie jetzt tun sollten

1. Zuerst inventarisieren. Listen Sie Linux-Hosts mit aus dem Internet erreichbaren IPv4-TCP-Listenern auf, vergleichen Sie uname -r mit dem Tracker Ihrer Distribution und notieren Sie, auf welchen davon Go-Dienste laufen.
2. Patchen und neu starten. Ein neuer Kernel wirkt erst nach dem Neustart. Unter Debian und RHEL den fehlerbereinigten Kernel jetzt installieren. Unter Ubuntu den Tracker von Canonical beobachten und das Wartungsfenster vorab planen.
3. Wenn ein Neustart noch nicht geht, beschreiben AlmaLinux und AWS eine Überbrückung: eingehende IPv4-TCP-Pakete mit IP-Optionen verwerfen, etwa mit einer nftables-Regel auf meta l4proto tcp ip hdrlength > 5. Einschränkungen laut AlmaLinux: Verkehr zwischen Containern auf einem Host umgeht die Regel, sie verwirft auch weitergeleiteten Verkehr mit IP-Optionen, und sie eignet sich nicht für CIPSO- oder NetLabel-Setups. Vorher testen.
4. MPTCP abschalten, wo Sie es nicht brauchen: sysctl net.mptcp.enabled=0, bei Go 1.24 und neuer GODEBUG=multipathtcp=0, danach bestehende Listener neu starten (ss -lnMp zeigt sie).

DIESEC Perspektive

Kernel-Lücken lassen sich leicht aufschieben, weil der Fix einen Neustart braucht und ein Neustart ein Fenster. Legen Sie jetzt fest, wer einen Linux-Host mit Internetzugang kurzfristig neu starten darf, und schreiben Sie das in die Patch-Richtlinie, statt es jedes Mal neu zu diskutieren.

Sie sind unsicher, welche Ihrer Linux-Server betroffen sind? Kontaktieren Sie DIESEC für eine Expositionsprüfung und Patch-Verifikation.

Quellen: AlmaLinux Advisory | AWS Bulletin | Debian Tracker | Ubuntu Tracker | BleepingComputer
Veröffentlicht: 2026-11-03 | Kategorie: Schwachstellen & Patches | ~4 Min. Lesezeit