Критическая уязвимость в ядре Linux позволяет удалённо получить root-доступ

Уязвимость CVE-2026-98432 получила оценку 9,8 балла по шкале CVSS. Атака не требует учётных данных или действий пользователя — достаточно сетевого доступа. Ошибка типа Use-After-Free возникает из-за состояния гонки при обработке TCP-соединений и присутствует в ядре начиная с версии 4.4, выпущенной в 2016 году.

Исследовательская группа Anthropic обнаружила проблему с помощью экспериментальной модели Claude и создала эксплойт, подтверждающий возможность эксплуатации в лабораторных условиях. Эксплойт использовал Multipath TCP и работал в два этапа: обход KASLR за 48 минут и выполнение команды с правами root за 5 минут. При этом проблемный код находится в стандартной реализации IPv4/TCP, хотя публичного эксплойта без MPTCP пока нет. Сведений о реальных атаках не опубликовано.

Чем критическая ошибка Linux грозит российским серверам

Под угрозой оказались серверы, контейнерные узлы, виртуальные машины и сетевые устройства на уязвимых ядрах. Российские компании широко используют RHEL и его отечественные реплики, Debian, Ubuntu и SUSE. Особого внимания требует парк серверов на Ubuntu 20.04 и 22.04 — патчи для них пока тестируются. Локальные инсталляции в изолированных контурах требуют ручного обновления, в отличие от публичных облачных сервисов вроде AWS Fargate, где исправления развёртываются централизованно.

Как обновить Linux и временно снизить риски

Главная мера защиты — установить исправленное ядро и перезагрузить сервер. Red Hat выпустила обновления для RHEL 8, 9 и 10; бюллетень RHSA-2026:93414 относится к восьмой версии. Debian закрыл проблему пакетом 6.12.113-1 для версии 13, а для Debian 12 доступны два варианта: 6.1.190-1 и 6.12.113-1~deb12u1. SUSE подготовила исправления для SLES 16.0, openSUSE Leap 16.0 и отдельных сборок SLES 15. Canonical собрала ядра для Ubuntu 22.04, 24.04 и 26.04 LTS, но они пока в репозитории -proposed — устанавливать их стоит после самостоятельной проверки совместимости. До применения патча рекомендуется отключить MPTCP и ограничить входящие TCP-пакеты с дополнительными параметрами IPv4. В первую очередь обновляйте системы, принимающие соединения из интернета.