Falha no TCP do kernel Linux com CVSS 9.8 atinge Ubuntu, Red Hat e outras distribuições

A falha é rastreada como CVE-2026-98432 e está no código TCP do kernel Linux. É uma race condition na montagem de novas conexões IPv4. Quando o handshake termina, o kernel passa ao novo socket as opções IP guardadas na requisição pendente, sem copiá-las. Se esse socket for destruído enquanto outra CPU ainda usa essas opções para responder a uma requisição reenviada, o kernel lê memória já liberada (use-after-free). IPv6 não sofre a mesma corrida, porque o kernel copia as opções nesse caso. O bug entrou no Linux 4.4, e a correção faz o kernel esperar as demais CPUs terminarem a leitura antes de liberar a memória.

A divergência de nota é o ponto central para quem gerencia vulnerabilidades. A equipe de CVE do kernel atribui 9.8, com complexidade de ataque baixa. Red Hat, Oracle e SUSE usam 8.1 (complexidade alta no vetor), a Amazon dá 7.0, e a página de CVE da Red Hat ainda mostrava 5.9 (Moderate) em 29 de outubro de 2026. A Anthropic disse em 27 de outubro de 2026 que seu modelo escreveu um exploit para execução remota de comandos como root contra servidores com listener multipath TCP. Em seu teste, vazar um endereço do kernel levou 48 minutos, e chegar à execução de comandos levou mais 5. A fonte não informa ataques em andamento, e a falha não aparecia numa cópia do catálogo KEV da CISA atualizada em 28 de outubro de 2026.

Quanto às correções, Debian, Oracle Linux, SUSE e Amazon Linux já têm pacotes, ao menos para alguns kernels. Ubuntu e RHEL ainda não, e a Red Hat não oferece mitigação que atenda aos seus critérios. Quem compila o próprio kernel encontra o ajuste nas versões 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3. Em Go, desde a versão 1.24 os programas ativam MPTCP por padrão nos sockets de escuta. A equipe de segurança do Go diz que desligar MPTCP é mitigação frágil e que o melhor caminho é atualizar o kernel.

A cobertura anterior do CEVIU mostra uma sequência de falhas no kernel Linux em 2026, mas de componentes distintos. Em 30 de julho de 2026, o CEVIU noticiou "Vulnerabilidade Crítica de Dia Zero no Kernel Linux Descoberta com o Auxílio de IA" (net/sched). Em 10 de agosto de 2026, veio "Alerta Crítico: Falha de 18 Anos no Kernel Linux Permite Acesso Root e Evasão de Containers" (SCTP, use-after-free). Em 13 de outubro de 2026, "Falha Crítica no Linux vhost Permite Escalada de Privilégios para Root", e em 20 de outubro de 2026, "Falha Crítica em KVM Permite Escape de Máquina Virtual para Host". Não é evolução do mesmo bug: o CVE-2026-98432 é outro defeito, no TCP. O que se repete é o padrão de use-after-free no kernel e o uso de IA na descoberta, agora com exploit remoto.

Para quem opera servidores Linux, a leitura prática é que o CVSS isolado não decide a prioridade aqui. A distância entre 9.8 e 5.9 vem da dificuldade de ganhar a corrida, mas a Anthropic relata que uma tentativa perdida não derruba o sistema, o que permite repetir. Vale inventariar serviços com MPTCP (inclusive programas Go), acompanhar os avisos de Ubuntu e RHEL e instalar o kernel corrigido onde ele já existir. Sem mitigação confirmada, a atualização é o único caminho sustentado pela fonte.