Linux-kernellek CVE-2026-98432: root zonder inloggen

In de netwerkstack van de Linux-kernel zit een lek waarmee een aanvaller zonder inloggen commando's als root kan uitvoeren. CVE-2026-98432 kreeg van het CVE-team van de kernel een score van 9,8 op 10, en de patches druppelen sinds deze week bij de distributies binnen. BleepingComputer zette vrijdag de stand van zaken op een rij.

Wat het lek is

Volgens Red Hat gaat het om een race conditie in het IPv4-netwerkdeel van de kernel. Bij het gelijktijdig verwerken van opnieuw verzonden TCP-verbindingsverzoeken of socketmigraties kunnen socketopties worden vrijgegeven terwijl ze nog in gebruik zijn: een use-after-free. Red Hat noemt het lek kritiek voor Red Hat Enterprise Linux, omdat een niet-geauthenticeerde aanvaller op afstand kernelgeheugen kan beschadigen of het systeem direct kan laten crashen, via gewoon IPv4-TCP-verkeer en zonder tussenkomst van een gebruiker.

Kernels vanaf versie 4.4 zijn geraakt. Red Hat noemt RHEL 8, 9 en 10 kwetsbaar; RHEL 7 niet, omdat die kernel de betrokken code mist. macOS staat erbuiten, want dat gebruikt Apples eigen XNU-kernel.

Claude bouwde de exploit

De urgentie komt vooral van wie het lek vond. Anthropic beschrijft in een onderzoeksrapport dat een nog niet uitgebracht Claude-model na wat prompten zelf een exploit schreef. Die stuurt pakketten naar een Linux-server met een Multipath TCP-listener en voert daar willekeurige commando's als root uit, zonder inloggegevens en zonder dat een gebruiker iets doet.

Dat gebeurde in twee stappen. Eerst omzeilde de exploit KASLR op afstand, door de race zo te misbruiken dat de kernel te veel bytes terugstuurt; zat er een kernelpointer in zo'n antwoord, dan kende de aanvaller de indeling van het kernelgeheugen. Daarna werd dezelfde use-after-free gebruikt om een callbackpointer te overschrijven. In Anthropics proof of concept duurde het 48 minuten om een kernelpointer te lekken en nog vijf minuten tot het shellcommando draaide. Dat een verloren race alleen de handshake laat mislukken zonder het systeem te laten crashen, maakt oneindig hertesten mogelijk.

Let op je Go-services

Multipath TCP staat zelden expliciet aan, maar wordt soms ongemerkt aangezet. Sinds Go 1.24 staat de GODEBUG-instelling multipathtcp op 2, wat betekent dat MPTCP standaard aan is op listeners op Linux. Go-netwerkdiensten kunnen dus een MPTCP-listener openen zonder dat de beheerder dat weet.

Belangrijk: MPTCP uitzetten lost het lek niet op. De onderliggende fout is ook via gewoon TCP-verkeer te bereiken, alleen is uitvoeren van code daar nog niet publiek aangetoond.

Wat je nu kunt doen

• Debian heeft pakketten klaar: bookworm is gedicht in 6.1.190-1 (DLA-4841-1), trixie in 6.12.113-1 (DSA-6568-1), en linux-6.12 voor bookworm in 6.12.113-1~deb12u1 (DLA-4850-1). Zie de security tracker.
• Ubuntu 22.04, 24.04, 26.04 en 26.10 stonden op 30 oktober nog als kwetsbaar in de security tracker, met patches in de maak.
• RHEL 8, 9 en 10 wachten nog op updates. Rocky Linux 8, 9 en 10 zijn ook geraakt; CIQ deelt tijdelijke firewallmaatregelen.
• Oracle Linux, Amazon Linux en SUSE hebben voor een deel van de kernelversies al fixes uitgebracht.
• Kun je nog niet patchen, beperk dan de toegang tot vertrouwde netwerken of IP-adressen.
• Een nieuwe kernel werkt pas na een herstart. Vergeet die stap niet op machines die je normaal laat doorlopen.

Misbruik in het wild is nog niet vastgesteld.