Linux-Kernel-Schwachstelle CVE-2026-98432: Anthropic zeigt Root-Exploit, Ubuntu und RHEL ohne Fix
Eine mit CVE-2026-98432 katalogisierte Schwachstelle im TCP-Code des Linux-Kernels erreicht nach Bewertung des kernel-eigenen CVE-Teams einen CVSS-Wert von 9,8. Anthropic erklärte am 27. Oktober, sein KI-Modell habe einen Exploit erstellt, der auf Linux-Servern mit aktiviertem Multipath-TCP und erreichbarem Listener eine Befehlsausführung als Root ermöglicht. Am 29. Oktober waren für Ubuntu und Red Hat Enterprise Linux noch keine korrigierten Kernel verfügbar.
Die Ursache ist eine Race Condition beim Aufbau neuer IPv4-TCP-Verbindungen. Der Kernel kann dabei Speicher lesen, den er bereits freigegeben hat. IPv6-Verbindungen sind von diesem konkreten Race nicht betroffen, weil der Kernel die Verbindungsoptionen dort kopiert. Eingeführt wurde der Fehler in Linux 4.4; die Korrektur wurde am 5. Oktober in den Kernel-Entwicklungszweig übernommen.
Nach Anthropic nutzt der Exploit die Schwachstelle zunächst, um Kernel-Speicher offenzulegen und dadurch die Speicheradressrandomisierung KASLR zu umgehen. In einem zweiten Schritt wird ein Callback-Zeiger überschrieben, sodass der vorbereitete Payload einen Shell-Befehl mit Root-Rechten ausführen kann. Anthropic zufolge dauerte es im Test 48 Minuten, eine Kernel-Adresse auszulesen, und weitere fünf Minuten bis zur Befehlsausführung. Der Beitrag nennt weder den getesteten Kernel noch die getestete Konfiguration und veröffentlicht keinen Exploit-Code.
Die Reichweite des beschriebenen Angriffs bleibt deshalb begrenzt. Anthropic testete gezielt Server mit einem Multipath-TCP-Listener; ob Systeme ohne diesen Listener auf dieselbe Weise übernommen werden können, geht aus dem Beitrag nicht hervor. Außerdem meldeten die Herstellerhinweise, der CVE-Eintrag und Anthropic bis zum 29. Oktober keine Angriffe in freier Wildbahn. Die Schwachstelle stand zu diesem Zeitpunkt auch nicht in der genannten Kopie des CISA-Katalogs der bekannten ausgenutzten Schwachstellen.
Patch-Status und Einordnung
Debian, Oracle Linux, SUSE und Amazon Linux hatten für zumindest einige Kernel bereits korrigierte Pakete bereitgestellt. Für selbst kompilierte Kernel liegen Korrekturen in den Versionen 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 und 7.3 vor. Betroffene Betreiber sollten dort auf das jeweils aktuelle korrigierte Kernel-Paket aktualisieren.
Für Ubuntu und RHEL sowie einige Veröffentlichungen von Amazon Linux und SUSE war dagegen noch kein Fix zur Installation verfügbar. Red Hat erklärte, derzeit keine einfach einsetzbare und ausreichend stabile Abhilfemaßnahme anbieten zu können. Die vorliegenden Hinweise bestätigen außerdem weder, dass eine Deaktivierung von Multipath TCP das Risiko senkt, noch dass das Blockieren von TCP-Anfragen mit IP-Optionen eine geprüfte Gegenmaßnahme ist.