CVE-2026-98432: vulnerabilitat crítica al nucli de Linux que afecta Ubuntu i RHEL

Resum

CVE-2026-98432 és un error crític en el codi TCP/IPv4 del nucli de Linux que pot permetre a un atacant remot, sense credencials, executar codi com a root. La informació d'Ubuntu és correcta i coincideix amb Debian, el registre CVE i la premsa especialitzada.

Acció: inventariar servidors Linux exposats a Internet, aplicar el nucli corregit tan aviat com ho publiqui cada distribució i reiniciar.

Detalls tècnics

En completar una connexió TCP, el nucli traspassa al nou sòcol les opcions IP de la petició pendent sense copiar-les. Si aquest socket es destrueix mentre un altre nucli de CPU les fa servir per respondre a un SYN retransmès, el kernel accedeix a memòria ja alliberada (Ubuntu).

• Origen: introduït a Linux 4.4 (commit 079096f), per la qual cosa afecta pràcticament tots els kernels en ús.
• Segon escenari: la migració de peticions de socket (net.ipv4.tcp_migrate_req=1 o programes BPF de reuseport) té el mateix problema.
• IPv6: no afectat per la decisió principal, perquè el nucli copia les opcions. Queda un cas residual amb CALIPS que es corregirà a part.
• Correcció: alliberar les opcions després d'un període de gràcia RCU (kfree_rcu()), commit e3f33b0, inclòs a 7.3-rc7.
• Versions upstream corregides: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 i 7.3 (The Hacker News).
• Exploit: segons Anthropic, el seu model va obtenir root remot a servidors amb un listener de multipath TCP (MPTCP), en menys d'una hora.

Està pegat Ubuntu? Estat per distribució

Totes les versions d'Ubuntu amb suport són vulnerables; Debian, Oracle Linux i Amazon Linux ja tenen correcció. Estat a 29-30 d'octubre del 2026.

A Ubuntu també estan afectats els kernels específics de núvol (AWS, Azure, GCP, Oracle), HWE, low-latency, FIPS, Raspberry Pi i realtime. El llistat complet és a la fitxa d'Ubuntu; el de Debian al seu security tracker.

Com protegir els servidors Linux

L'única solució definitiva és instal·lar el nucli corregit i reiniciar. Fins aleshores, prioritzar els servidors accessibles des d'Internet.

1. Inventariar els servidors Linux i el seu nucli amb uname -r; començar pels exposats a Internet.
2. Debian, Oracle Linux i Amazon Linux: actualitzar ja i reiniciar.
3. Ubuntu: vigilar la fitxa del CVE i, quan surti el pegat, executar sudo apt update && sudo apt full-upgrade i reiniciar. Amb Ubuntu Pro, sudo pro fix CVE-2026-98432 indica l'estat i aplica la correcció quan n'hi hagi.
4. Livepatch: on estigui actiu, comprovar amb canonical-livepatch status si cobreix aquest CVE; no substitueix el reinici programat.
5. RHEL i derivats: seguir el butlletí de Red Hat i aplicar quan estigui disponible.
6. Kernels compilats a mà: pujar a una versió corregida (veure Detalls tècnics).

Reducció de risc temporal (no oficial, provar abans en preproducció):

• Desactivar MPTCP si no es fa servir: sysctl -w net.mptcp.enabled=0. Tanca la via de l'exploit descrit, no la fallada de fons.
• Mantenir net.ipv4.tcp_migrate_req=0 (valor per defecte).
• Valorar filtrar al firewall perimetral els paquets IPv4 entrants amb opcions IP, que el trànsit legítim amb prou feines fa servir.
• Restringir els ports TCP exposats a allò estrictament necessari.

Fonts

• Ubuntu Security – CVE-2026-98432
• Debian Security Tracker – CVE-2026-98432
• The Hacker News – Linux Kernel TCP Flaw With 9.8 CVSS Score
• Rescana – Linux Kernel CVE-2026-98432
• Registre CVE (cve.org)
• NVD