CVE-2026-98432: falha no kernel Linux ainda afeta Ubuntu e RHEL, e listeners MPTCP abertos por programas em Go ampliam a exposição

A CVE-2026-98432 é um use-after-free no handshake TCP IPv4 do kernel Linux. Quem consegue enviar um SYN a uma porta em escuta chega ao bug, e a aplicação não vê um byte sequer. A falha remonta ao Linux 4.4. Segundo Mattias Geniar, o único exploit conhecido exige um listener MPTCP no alvo, e foi isso que o levou a checar o próprio laptop: 712 listeners MPTCP, todos de programas em Go, como o tailscaled (um listener por porta de tailscale serve) e um pequeno servidor MCP em 127.0.0.1. O motivo é que, desde o Go 1.24, o Go liga MPTCP por padrão em sockets de escuta, desde que o kernel permita.

Na checagem de 2 de novembro de 2026, Debian, Amazon e Oracle UEK já tinham kernels corrigidos. A Red Hat liberou correções para os kernels 8.10, 9.8 e 10.2, com advisories datados de 1º de novembro, e o AlmaLinux tem kernels de produção corrigidos nas mesmas versões. O Ubuntu ainda não publicou: os pacotes corrigidos já têm nome no tracker (7.0.0-43.43 para a 26.04, por exemplo), mas não foram lançados. Para o 20.04 e anteriores, a cobertura só vem pelo Ubuntu Pro. Na SUSE, o Leap 15.6 segue como afetado, e há live patches para kernels específicos, que não equivalem a um kernel de substituição para todo SLES.

Mitigações citadas: descartar pacotes IPv4 TCP com opções IP (regra nftables publicada pelo AlmaLinux, que Geniar testou em um network namespace), desligar MPTCP via sysctl (vale por namespace, então contêineres precisam disso também) ou usar GODEBUG=multipathtcp=0 por programa. A própria Red Hat diz que a regra reduz a exposição, mas não a elimina. Ela também não serve para redes que dependem de rótulos CIPSO. A correção real é o kernel patchado.

Em 26 de outubro de 2026, o CEVIU noticiou "Exploit root para falha ZDI-CAN-33367 do kernel Linux é público antes de CVE e correção", e em 30 de outubro de 2026, "Falha no TCP do kernel Linux com CVSS 9.8 atinge Ubuntu, Red Hat e outras distribuições". Em 2 de novembro de 2026, o CEVIU publicou "Falha use-after-free no TCP do Linux, a CVE-2026-98432, tem CVSS 9.8", com a correção no upstream desde 15 de outubro. O que esta nota acrescenta ao quadro é a frente de distribuições (Red Hat com fixes de 1º de novembro, Ubuntu ainda sem kernel) e o vetor prático dos listeners MPTCP abertos por programas em Go.

Para quem opera servidores Ubuntu, a leitura é que o patch ainda não chegou e a mitigação depende de você. Rodar o ss para listar listeners MPTCP e reiniciar os serviços depois de desligar MPTCP é um passo barato. Em ambientes com muita coisa em Go, como infraestrutura de rede e agentes, é provável que haja listeners que ninguém decidiu abrir. A regra de nftables é paliativo, e o plano continua sendo atualizar o kernel e reiniciar assim que o pacote sair.