# Podatność CVE-2026-98432 w kodzie TCP jądra Linuksa ma ocenę 9.8, a RHEL i Ubuntu nie mają jeszcze poprawki Wyścig przy zestawianiu połączeń TCP po IPv4 prowadzi do użycia zwolnionej pamięci jądra. Anthropic twierdzi, że jego model napisał na tej podstawie zdalny exploit z uprawnieniami roota. Debian, Oracle, SUSE i Amazon wydały już poprawione jądra. - Adres: - Rodzaj: Streszczenie - Data publikacji: 29.10.2026 - Kategoria: [Aktualności](https://pelnomocnikcyber.pl/kategorie/aktualnosci/) - Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Źródło: [The Hacker News](https://thehackernews.com/2026/10/linux-kernel-tcp-flaw-with-98-cvss.html) (29 października 2026) - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) Zespół CVE jądra Linuksa opublikował 15 października 2026 r. podatność CVE-2026-98432 w kodzie zestawiającym połączenia TCP po IPv4. Gdy połączenie się domyka, jądro przekazuje nowemu gniazdu opcje IP zapisane przy oczekującym żądaniu, nie kopiując ich. Jeśli inny procesor w tym czasie odpowiada na powtórzone żądanie, a gniazdo zostanie zwolnione, jądro sięga do zwolnionej pamięci (use-after-free). Błąd pochodzi z Linuksa 4.4, zgłosił go Xinyang Ge z Anthropic. 24 października dopisano do rekordu ocenę **9.8 w CVSS 3.1**: atak przez sieć, bez uwierzytelnienia i udziału użytkownika. Anthropic podał 27 października, że jego model Claude po wstępnych instrukcjach napisał exploit, który pozwala zdalnemu atakującemu bez poświadczeń wykonywać polecenia jako root na serwerach Linux nasłuchujących przez multipath TCP (MPTCP). W teście ujawnienie adresu jądra zajęło 48 minut, a wykonanie polecenia kolejne pięć, bo przegrany wyścig nie zawiesza systemu i można próbować dalej. The Hacker News zauważa, że ani rekord CVE, ani poprawka nie wspominają o MPTCP, a Anthropic nie podał kodu, wersji jądra ani konfiguracji. Do 29 października żadne ze źródeł nie zgłosiło ataków, a katalogu KEV agencji CISA podatności nie ma. Dystrybucje oceniają błąd różnie. Red Hat na stronie CVE podaje 8.1, z wysoką złożonością ataku, choć w swoich danych bezpieczeństwa wciąż pisze o 5.9 i za praktycznie najgorszy skutek uważa awarię jądra. Oracle i SUSE dają 8.1, Amazon 7.0, a Ubuntu pokazuje 9.8 i nadaje priorytet High. Poprawka jest w wydaniach stabilnych 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 i 7.3. Debian wydał ją dla bookworm (6.1.190-1) i trixie (6.12.113-1), Oracle 16 października dla jąder UEK w Oracle Linux od 7 do 10, SUSE 29 października dla części swoich wydań, a Amazon dla `kernel6.18` i `kernel6.12` w Amazon Linux 2023. Red Hat odłożył poprawki dla RHEL 8, 9 i 10 oraz OpenShift 4 na przyszłą aktualizację, a Ubuntu oznacza między innymi 22.04, 24.04 i 26.04 LTS jako podatne, z poprawką w przygotowaniu. Ani Red Hat, ani Ubuntu nie podają **daty wydania**. Jeśli masz serwery z Linuksem przyjmujące połączenia TCP z sieci, sprawdź status CVE-2026-98432 u dystrybutora, a gdzie jest już poprawione jądro, **zainstaluj je i uruchom serwer ponownie**. Według Red Hata żadne dostępne obejście nie spełnia jego kryteriów wdrożenia i stabilności. Ani dostawcy, ani Anthropic nie piszą, czy wyłączenie MPTCP albo blokowanie żądań z opcjami IP zmniejsza ryzyko. ## Źródła - [The Hacker News: Linux Kernel TCP Flaw With 9.8 CVSS Score Affects Ubuntu, Red Hat and Other Distributions](https://thehackernews.com/2026/10/linux-kernel-tcp-flaw-with-98-cvss.html) - [CVE Program: CVE-2026-98432](https://www.cve.org/CVERecord?id=CVE-2026-98432) - [Anthropic: Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) - [Linux: ipv4: free inet_opt and ireq_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) - [Red Hat: CVE-2026-98432](https://access.redhat.com/security/cve/CVE-2026-98432) - [Ubuntu: CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) - [Debian Security Tracker: CVE-2026-98432](https://security-tracker.debian.org/tracker/CVE-2026-98432) - [SUSE: CVE-2026-98432](https://www.suse.com/security/cve/CVE-2026-98432.html) - [Oracle Linux: CVE-2026-98432](https://linux.oracle.com/cve/CVE-2026-98432.html) - [Amazon Linux Security Center: CVE-2026-98432](https://explore.alas.aws.amazon.com/CVE-2026-98432.html) - [CISA: Known Exploited Vulnerabilities Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) ## Pojęcia w tym tekście - [CVE](https://pelnomocnikcyber.pl/slownik/cve/): Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń. - [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. - [CVSS](https://pelnomocnikcyber.pl/slownik/cvss/): Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. - [Katalog KEV](https://pelnomocnikcyber.pl/slownik/katalog-kev/): Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności. - [CISA](https://pelnomocnikcyber.pl/slownik/cisa/): Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. ## Jak powstała ta wiadomość Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 29 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.