Red Hat corrige falha crítica no Linux que permite ataque RCE; Ubuntu ainda testa atualizações
Uma vulnerabilidade crítica no kernel do Linux, identificada como CVE-2026-98432, recebeu correções para o Red Hat Enterprise Linux (RHEL) 8, 9 e 10. A falha, classificada com pontuação 9,8 de 10 na escala CVSS, pode permitir que invasores executem código remotamente, sem autenticação. Enquanto isso, as atualizações para as versões mais recentes do Ubuntu LTS permanecem em fase de testes, sem previsão de distribuição pelo canal regular.
O problema afeta o código TCP sobre IPv4 do kernel Linux e envolve uma condição de use-after-free, situação em que o sistema tenta acessar uma região de memória que já foi liberada. A vulnerabilidade está presente desde o Linux 4.4, e sua correção foi incorporada ao código principal do kernel em outubro de 2026.
Inicialmente, a Red Hat classificou a falha como moderada, atribuindo pontuação CVSS de 5,9. Posteriormente, a empresa elevou a classificação para crítica, com pontuação 9,8, alinhando-se à avaliação da equipe responsável pelos registros CVE do kernel Linux.
Como funciona a vulnerabilidade
A falha ocorre durante o estabelecimento de conexões TCP sobre IPv4. Quando um servidor aceita uma conexão, o kernel transfere opções IP da solicitação recebida para um novo socket sem realizar uma cópia dessas informações.
Se o cliente retransmitir a solicitação enquanto outro processador ainda estiver acessando os dados, poderá ocorrer uma condição de corrida que leva o kernel a utilizar memória previamente liberada.
Um invasor pode provocar essa condição enviando solicitações de conexão contendo opções IPv4 Record Route ou Timestamp para qualquer porta TCP que esteja aguardando conexões. O ataque não exige credenciais ou interação do usuário. O caminho principal de exploração não afeta o IPv6.
Dependendo das condições, a exploração pode provocar corrupção de memória, falhas no sistema e potencial execução remota de código.
Red Hat disponibiliza correções
Em 1º de novembro, a Red Hat publicou três atualizações de segurança para as versões suportadas do RHEL.
Versão | Kernel corrigido | Boletim |
RHEL 8.10 | 4.18.0-553.182.1.el8_10 | |
RHEL 9.8 | 5.14.0-687.64.1.el9_8 | |
RHEL 10.2 | 6.12.0-211.72.1.el10_2 |
Após a instalação das atualizações, é necessário reiniciar os servidores para carregar o kernel corrigido.
A Canonical informou em 2 de novembro que também preparou correções para Ubuntu 22.04 LTS, 24.04 LTS e 26.04 LTS. Entretanto, os pacotes permanecem no repositório -proposed, destinado a testes opcionais, e não são instalados automaticamente.
Ubuntu | Kernel corrigido | Situação |
22.04 LTS | 5.15.0-203.213 | Em testes |
24.04 LTS | 6.8.0-149.149 | Em testes |
26.04 LTS | 7.0.0-43.43 | Em testes |
20.04, 18.04 e 16.04 | — | Correção pendente |
A Canonical realiza testes em mais de 2 mil servidores e dispositivos certificados antes de liberar atualizações do kernel pelo canal regular. Até o momento, não foi anunciada uma data para a disponibilização dessas correções.
Administradores que precisam aplicar a atualização antecipadamente podem utilizar o repositório -proposed, considerando os riscos associados à instalação de pacotes ainda em testes. A versão do kernel em execução pode ser verificada com o comando uname -r.
As versões Ubuntu 20.04, 18.04 e 16.04 ainda não possuem correções disponíveis. Para versões antigas, o suporte estendido de segurança depende do Ubuntu Pro.
Variantes de kernel utilizadas em ambientes de nuvem, sistemas FIPS e aplicações de tempo real também permanecem em desenvolvimento, segundo a página da vulnerabilidade mantida pela Canonical.
Medidas temporárias de proteção
Em 30 de outubro, a Red Hat publicou uma regra de firewall baseada em nftables que bloqueia pacotes TCP IPv4 contendo opções IP, impedindo o principal mecanismo conhecido para acionar a vulnerabilidade.
Entretanto, a empresa ressalta que a medida não elimina completamente o risco de exploração e pode interferir em aplicações que dependem dessas opções.
A proteção também possui limitações em ambientes com contêineres. Segundo um integrante da equipe de kernel da CIQ, o tráfego entre contêineres executados no mesmo servidor pode contornar a filtragem aplicada ao host.
Outra recomendação divulgada por diferentes fontes envolve desabilitar o Multipath TCP (MPTCP). A Canonical esclareceu, porém, que a vulnerabilidade está no processamento TCP sobre IPv4, e não especificamente no MPTCP. Portanto, desabilitar esse recurso não constitui uma mitigação suficiente.
A equipe de segurança do Ubuntu considera a instalação das atualizações de segurança a única medida de mitigação apropriada.
Modelo de IA da Anthropic desenvolveu exploit funcional
Um dos aspectos mais relevantes do caso envolve uma demonstração divulgada pela Anthropic em 27 de outubro.
A empresa informou que um modelo experimental interno e ainda não lançado do Claude conseguiu desenvolver um exploit capaz de obter acesso remoto com privilégios de root em servidores Linux que possuem um serviço MPTCP aguardando conexões.
Segundo a Anthropic, a exploração não exigiu autenticação nem interação humana no sistema atacado.
Durante a prova de conceito, o modelo levou aproximadamente 48 minutos para obter o vazamento de um endereço de memória do kernel e outros cinco minutos para conseguir um shell com privilégios de root.
O código desenvolvido pelo modelo não foi publicado.
Também surgiram no GitHub códigos de prova de conceito capazes de provocar a condição de corrida e identificar situações em que o kernel retorna dados de memória liberada em pacotes SYN-ACK. Esses exemplos, entretanto, não implementam execução remota de código.
Exploração em ataques reais ainda não foi confirmada
Apesar da gravidade da vulnerabilidade e da demonstração de exploração pela Anthropic, não há relatos confirmados de ataques reais utilizando a CVE-2026-98432, segundo as informações divulgadas por fornecedores, equipes CERT e responsáveis pelo kernel Linux.
A vulnerabilidade também não constava no catálogo Known Exploited Vulnerabilities (KEV) da CISA na atualização de 30 de outubro.
As avaliações de gravidade variam entre fornecedores. A Amazon Linux atribuiu pontuação CVSS de 8,1 e classificação importante, indicando que o principal impacto esperado é uma falha do sistema, com possibilidade de corrupção de memória.
Debian, Oracle Linux e SUSE disponibilizaram correções durante outubro. A Amazon Linux concluiu a distribuição das atualizações para seus pacotes entre 24 e 30 de outubro.
Para administradores de infraestrutura Linux, a prioridade é identificar os kernels afetados, verificar a disponibilidade das atualizações correspondentes e planejar sua instalação. Em sistemas Ubuntu que ainda dependem de pacotes em testes, a decisão exige avaliar os riscos operacionais até a liberação oficial das correções.
