Удалённый захват root без пароля: критическая ошибка в ядре Linux угрожает серверам

Атака возможна на систему с ядром Linux от версии 4.4, где открыт входящий TCP-порт. Злоумышленнику не нужны ни логин, ни пароль — достаточно сетевой доступности. В эксперименте Anthropic полный захват занимал менее часа: 48 минут уходило на обход KASLR и ещё 5 минут — на финальную эксплуатацию.

В основе проблемы — ошибка use-after-free из-за состояния гонки при повторных запросах на установку TCP-соединения. Исследователи Anthropic с помощью Claude построили цепочку эксплуатации, позволившую удалённо выполнить команду с правами root на сервере с MPTCP. Риск не ограничивается только MPTCP: эксперты допускают аналогичный сценарий для обычных TCP-соединений, хотя публичного эксплойта для этого вектора пока нет. Ситуацию усугубляет то, что Go 1.24 автоматически включает MPTCP для серверных сокетов, расширяя поверхность атаки без участия администратора. Предыдущий выпуск Xray v26.10.29 отозван, а v26.10.31 отключает MPTCP по умолчанию.

Чем опасна уязвимость Linux CVE-2026-98432 для российских компаний

Под угрозой — платформы, распространённые в российских ЦОД и облаках: RHEL 8, 9, 10, OpenShift, Amazon Linux 2 и 2023, Debian 12 и 13. На Android-устройствах с Xray возможна угроза при входящих подключениях из локальной сети. Даже без публичного эксплойта для массовых атак сам факт удалённого получения root без аутентификации делает уязвимость чрезвычайно опасной для организаций, чьи серверы доступны из недоверенных сетей.

Срочные меры защиты от ошибки в ядре Linux

Необходимо обновить Xray до v26.10.31 и установить пропатченное ядро с перезагрузкой: для Debian 12 — 6.1.190-1, для Debian 13 — 6.12.113-1. Временно отключите MPTCP через net.mptcp.enabled=0 или задайте GODEBUG=multipathtcp=0 для приложений на Go 1.24+. Проверьте доступность серверов из недоверенных сетей, ограничьте входящие подключения доверенными адресами и фильтруйте входящие IPv4 TCP-пакеты с IP-опциями.