Критическая уязвимость Linux позволяет удалённо получить root через TCP/IPv4

В ядре Linux обнаружили критическую уязвимость CVE-2026-98432, связанный с ней уровень опасности оценивается в 9,8 балла по шкале CVSS. Проблема представляет собой комбинацию race condition и use-after-free в обработке TCP/IPv4 и присутствует в ядре начиная с версии 4.4.

Экспериментальная модель Claude, которую использовала Anthropic, смогла автоматически собрать полноценный zero-click-эксплойт. Он позволяет удалённо выполнить произвольные команды с правами root без аутентификации пользователя. Для демонстрации исследователи применили слушатель MPTCP.

На практическую эксплуатацию ушло около 53 минут. За это время удалось обойти KASLR и перехватить управление ядром. Важная особенность атаки заключается в том, что сама уязвимость находится в общей логике TCP/IPv4, а не непосредственно в реализации MPTCP.

Риск для приложений на Go

Дополнительную опасность создаёт изменение, появившееся в Go 1.24. Начиная с этой версии, MPTCP включается по умолчанию для TCP-сокетов, которые создают приложения на Linux. Поэтому программа может использовать MPTCP, даже если разработчики явно его не включали и не учитывали такой сценарий при настройке инфраструктуры.

Команда Go уже опубликовала security advisory. Проверить активные сетевые слушатели можно командой ss -Mntlp. В качестве временной меры для Go-приложений предлагается отключить MPTCP через переменную окружения GODEBUG=multipathtcp=0.

Эта настройка действует только при создании новых MPTCP-сокетов. Кроме того, значение sysctl может отличаться в отдельных сетевых пространствах имён. В контейнерах и подах, использующих собственный netns, параметр по умолчанию может оставаться равным 1, поэтому одной переменной окружения недостаточно для универсальной защиты всей инфраструктуры.

Отключение MPTCP не заменяет обновление ядра

Отключение MPTCP блокирует продемонстрированный исследователями сценарий атаки, но не устраняет сам дефект в обработке TCP/IPv4. Основная мера защиты — установка исправленной версии ядра. Патчи уже вошли в upstream и стабильные ветки Linux, однако на 30 октября исправленные пакеты ядер ещё не были выпущены для Ubuntu и RHEL.

Проблема может затронуть широкий круг систем: сетевые сервисы и инфраструктурные инструменты всё чаще разрабатываются на Go. В числе таких проектов — node_exporter и другие приложения, которые могут создавать TCP-слушатели с настройками MPTCP по умолчанию.