TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8

Pubblicata il 15 ottobre 2026 una vulnerabilità del kernel Linux CVE-2026-98432 che è stata classificata con il grado 9.8 dal CVSS. Ad oggi, 2 novembre, non tutte le distribuzioni più usate in ambito aziendale sono state patchate.

Alla base di CVE-2026-98432 è una condizione chiamata Use-After-Free (UAF) nel kernel Linux, nello stack di rete TCP.
Il problema è un use-after-free nello stack TCP: una race condition tra processori può causare l’accesso a memoria già liberata. Un attaccante remoto potrebbe sfruttarla per eseguire comandi con privilegi di root, senza autenticazione.

Anthropic ha dimostrato la vulnerabilità sviluppando un exploit funzionante con Claude. La dimostrazione richiede diversi minuti di tentativi, ma dimostra un impatto potenzialmente molto grave.

Alcuni aspetti importanti:

Non riguarda Windows, macOS o BSD, ma Linux.

MPTCP non è necessariamente un requisito per essere vulnerabili. Alcune applicazioni Go, dalla versione 1.24, abilitano MPTCP per default.

L’esposizione effettiva dipende dalla configurazione di rete e dal kernel. Filtrare i pacchetti IPv4 con IP options può ridurre il rischio, ma non sostituisce la patch.

Vi potete immaginare che il consiglio che viene pubblicizzato è quello di aggiornare tempestivamente il kernel Linux con priorità.

Al 2 novembre 2026, la vulnerabilità è stata corretta ed integrata nei kernel upstream supportati.

Secondo l’annuncio del Linux Kernel CVE Team del 15 ottobre 2026, la vulnerabilità è stata corretta nelle seguenti versioni:

Oggi 2 novembre la vulnerabilità risulta corretta su queste distribuzioni:

Articoli affini:

Baron Samedit, una nuova vulnerabilità in sudo

Rust: presto arriverà nel codice sorgente del kernel Linux

Confusi su come le versioni del Kernel Linux sono gestite? Vi aiuta Greg Kroah-Hartman a capire tutt...