Falha use-after-free no TCP do Linux, a CVE-2026-98432, tem CVSS 9.8

A CVE-2026-98432 é um use-after-free no handshake TCP IPv4 do Linux, alcançável por um peer remoto sem autenticação. O kernel guarda as opções do cabeçalho IPv4 no "request socket", repassa esse ponteiro ao socket da nova conexão sem copiar e libera a memória logo que a conexão acaba. Enquanto isso, outra CPU ainda pode estar lendo as opções para montar uma resposta do handshake. A autoridade de CVEs do kernel dá CVSS 3.1 9.8. A falha existe desde o Linux 4.4.

A correção upstream tem quatro linhas. O commit de Eric Dumazet troca dois kfree() por kfree_rcu(), que só libera a memória depois que todos os leitores terminam. As versões corrigidas são 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3. Como a maioria dos servidores roda kernel de distribuição, o número upstream não serve de referência: é preciso consultar o tracker de cada distro. Em 1º de novembro, a Red Hat já havia liberado kernels para RHEL 8, 9 e 10, e o Ubuntu ainda listava o kernel como "Vulnerable". Os kernels do AlmaLinux estavam em testes.

Em 30 de outubro de 2026, o CEVIU noticiou "Falha no TCP do kernel Linux com CVSS 9.8 atinge Ubuntu, Red Hat e outras distribuições", quando o foco era a descoberta pela Anthropic e a exposição das distros. Agora o quadro é de correção: o upstream já tem o patch nos kernels stable, a Red Hat entregou os pacotes de RHEL em 1º de novembro, e o Debian, o SUSE e o Amazon Linux também têm correções. O Ubuntu segue sem pacote e o AlmaLinux está em testes. As demais notícias de kernel da cobertura anterior tratam de outras falhas e não entram nessa comparação.

Para quem opera frota Linux, a leitura é direta: o risco está no kernel do host, então imagem de container nova não resolve. Isso inclui nodes de Kubernetes, que precisam de reboot depois do update. Desativar MPTCP reduz a superfície do exploit da Anthropic, mas não elimina o bug, segundo o próprio Go Security Team. Em ambientes Ubuntu ou OpenShift sem correção, a regra de nftables que descarta TCP IPv4 com opções funciona como paliativo, nunca como substituto do patch.