Атакуващи започнаха реално сканиране за RCE уязвимост в ядрото на Linux, Ubuntu пуска корекции за сигурност

Ubuntu постави ранни корекции за сигурност за ядрото за уязвимостта CVE-2026-98432 в своя канал -proposed за версия 22.04 LTS и по-новите издания. Грешката представлява сериозна уязвимост в ядрото на Linux, която може да позволи на отдалечен потребител да изпълнява команди като root без удостоверяване или каквото и да е действие от страна на потребителя. Корекциите за сигурност все още се тестват, така че много сървъри засега остават уязвими.

Екипът по сигурността на Canonical казва, че уязвимостта се намира в начина, по който ядрото на Linux установява IPv4 TCP връзки, и засяга версии на ядрото 4.4 и по-нови. Коригираните компилации са 5.15.0-203.213 за Jammy (22.04), 6.8.0-149.149 за Noble (24.04) и 7.0.0-43.43 за Resolute (26.04). Stonking (26.10) вече е с отстранена уязвимост във версия 7.3.0-10.10, а Trusty (14.04) не е засегната. Корекциите за сигурност за Xenial, Bionic и Focal все още се очакват.

Canonical провежда тестове върху повече от 2,000 сертифицирани сървъра и устройства, преди да премести дадено ядро в канала с обновявания (updates). Екипите, които провеждат свои собствени тестове за приемане, могат да инсталират ранните компилации още днес, както е описано в новата SRU стратегия на Canonical за по-бързи корекции на CVE уязвимости.

Системата за проследяване на Ubuntu за CVE-2026-98432 оценява уязвимостта на 9.8, което е критично ниво (Critical). В собствената им публикация в блога същата оценка е наречена „Висока“ (High), така че читателите могат да срещнат и двете определения. Записът беше публикуван на 15 октомври 2026 г.

Грешката е от тип използване след освобождаване на паметта (use-after-free). Казано по-просто, ядрото продължава да използва част от паметта, след като вече я е освободило. Едно процесорно ядро освобождава IP опциите на нова връзка. Друго процесорно ядро, обработващо повторен SYN пакет, все още ги чете, докато изгражда отговор. Корекцията за сигурност в основния код (upstream) забавя това освобождаване чрез kfree_rcu(), така че процесите по четене да завършат първи.

Екипът Frontier Red Team на Anthropic сподели своето проучване на 27 октомври 2026 г. В него се казва, че непуснат публично модел Claude е написал работещ експлойт след една-единствена първоначална инструкция (prompt). Експлойтът е насочен към Linux сървъри с активен слушател за многопътен TCP (MPTCP).

Той работи на два етапа. Първо, кара ядрото да върне допълнителни байтове, които може да съдържат указател към ядрото, което преодолява KASLR – защита, която скрива къде се намира кодът на ядрото в паметта. Второ, презаписва указател за обратно извикване (callback pointer), така че ядрото изпълнява зловреден код и в крайна сметка стартира шел команда с права на root.

Неуспешното състояние на надпревара (race condition) само прекъсва ръкостискането (handshake) и не срива машината, така че атакуващият може да опита отново. При теста изтичането на памет е отнело 48 минути, а получаването на шел достъп – още пет.

Cyber Security News отрази това в статията „Claude AI експлоатира уязвимост в ядрото на Linux за изпълнение на Root команди без потребителска намеса“. Нашият по-ранен доклад за това как Claude изгражда вериги от експлойти за Chrome и Linux показва как това се вписва в една по-широка тенденция. Експлойтът на Anthropic не е публикуван. Компанията също така посочва, че това е било лабораторен тест, а не реален инцидент.

Признаци за реално сканиране в интернет

Изследователят Маркъс Хътчинс казва, че екипът му е забелязал активност, която прилича на сканиране на целия интернет от страна на киберпрестъпници за откриване на засегнати системи. В публикация в X той съобщава, че от 2 ноември домашни проксита (residential proxies) и базирани в Русия VPN сървъри са започнали да проверяват порт 443 с MPTCP връзки.

Обикновените скенери не използват MPTCP по подразбиране, поради което той силно подозира, че тази активност е насочена към CVE-2026-98432. Неговото сканиране на 30 октомври е открило около 2,102,043 сървъра, достъпни през MPTCP на порт 443.

По-задълбочено TLS сканиране е открило около 762,774. Той казва, че не е необходима валидна HTTP заявка, така че реалният брой на изложените на риск системи вероятно е по-близо до 2.1 милиона. Тези числа показват само потенциалната изложеност и не доказват, че ядрата са без инсталирани корекции за сигурност.

Все още няма публичен експлойт за отдалечено изпълнение на код. Съществуват обаче няколко доказателства за концепция (PoC) за отказ от услуга (DoS), които дават отправна точка на атакуващите.

Някои хора предполагаха, че MPTCP слушателите са рядкост. Хътчинс посочва, че Debian и няколко други ядра активират MPTCP по подразбиране. Go 1.24 и по-новите версии също свързват MPTCP сокети, когато ядрото го позволява, така че инструменти, изградени на Go, като например Caddy, създават необходимия слушател.

От Ubuntu подчертават, че самата уязвимост не е обвързана с MPTCP и че връзката с MPTCP идва единствено от експлойта на Anthropic. Екипът по сигурността на Ubuntu казва, че обновяванията са единственото правилно решение за отстраняване на уязвимостта. Хътчинс добавя, че задаването на net.mptcp.enabled=0 не затваря сокети, които вече са отворени, така че съответните приложения трябва да се рестартират. Можете да изведете списък на MPTCP слушателите с командата sudo ss -Mlnp.

За администратори

Изпълнете uname -r и сравнете резултата с коригираните версии по-горе. Ръководството на Ubuntu за активиране на канала -proposed обяснява как да изтеглите новото ядро, като след това е необходимо рестартиране. Пакетите в -proposed не се избират за надграждане по подразбиране, така че трябва изрично да посочите канала при инсталиране.

За хостове, които все още не могат да бъдат обновени, в системата за проследяване на Ubuntu е посочено правило за nftables, което отхвърля входящи IPv4 TCP пакети, съдържащи IP опции. То намалява риска, но не предотвратява напълно експлоатирането на уязвимостта и прекъсва всяка връзка, която разчита на IP опции.

Ubuntu 20.04 LTS и по-старите версии се нуждаят от Ubuntu Pro. Focal и Bionic попадат в обхвата на разширената поддръжка за сигурност (Expanded Security Maintenance), докато Xenial и Trusty се нуждаят от добавката Legacy. Ubuntu Pro е безплатен за до пет машини.