This post is also available in: Português
A CVE-2026-98432 é uma vulnerabilidade crítica no kernel Linux que afeta o processamento de conexões TCP sobre IPv4. Um atacante remoto pode enviar tráfego especialmente preparado para fazer o kernel acessar memória já liberada. A falha pode causar corrupção de memória e derrubar o sistema. Em um ambiente que aceitava conexões Multipath TCP (MPTCP), pesquisadores demonstraram que também era possível executar código remotamente.
Onde está a exposição?
O kernel é o núcleo do Linux e responde por funções como gerenciamento de memória e comunicação de rede. Neste caso, o código vulnerável entra em ação enquanto o sistema estabelece uma conexão TCP, antes que a aplicação receba a conexão e solicite credenciais. Na prática, um serviço protegido por login ainda pode expor o host à falha se sua porta TCP estiver acessível por IPv4.
O primeiro recorte para o inventário são os servidores com portas TCP acessíveis pela internet. Em seguida, entram os hosts que recebem conexões de redes de parceiros, segmentos de usuários ou outros pontos a partir dos quais um atacante poderia alcançar o serviço. A exposição depende do kernel em execução e de quem consegue chegar à porta.
Como a CVE-2026-98432 ocorre?
Quando uma conexão TCP sobre IPv4 é estabelecida, o kernel transfere as opções IPv4 da solicitação inicial para o socket da nova conexão, reaproveitando a mesma estrutura de memória. Se o pacote SYN for retransmitido, outra CPU pode processar essa retransmissão e ainda consultar a estrutura para preparar uma resposta. A condição de corrida aparece quando a memória é liberada enquanto esse acesso ainda está em andamento. Um problema semelhante pode ocorrer durante a migração de sockets.
Esse acesso a uma região já liberada é chamado de use-after-free. A falha foi associada à CWE-825, que descreve o uso de um ponteiro cuja referência já expirou. O patch altera o momento em que o kernel libera a memória, fazendo com que a operação espere até que as leituras em andamento sejam concluídas.
CVSS 9,8 e impacto da exploração
Com pontuação CVSS 9,8, a CVE-2026-98432 é classificada como crítica. O atacante precisa alcançar uma porta TCP sobre IPv4 e sincronizar o envio do tráfego para acionar a condição de corrida. A tentativa dispensa credenciais e interação do usuário. Se o kernel travar, a indisponibilidade pode atingir todos os serviços do host, inclusive os que não estavam diretamente expostos à conexão.
A demonstração de execução remota de código usou um servidor com Multipath TCP (MPTCP) habilitado para receber conexões. Essa extensão permite que uma única conexão use múltiplos caminhos de rede. O MPTCP foi um requisito da técnica demonstrada, enquanto a condição de corrida afeta o processamento IPv4 do kernel. Assim, servidores que usam TCP convencional também precisam passar pela avaliação de exposição.
Versões afetadas e corrigidas
A alteração que introduziu a vulnerabilidade entrou no Linux 4.4. O projeto do kernel publicou as correções nas seguintes versões.
| Série do kernel Linux | Versão com a correção |
|---|---|
| 6.12 | 6.12.113 |
| 6.18 | 6.18.56 |
| 7.2 | 7.2.10 |
| 7.3 em desenvolvimento | 7.3-rc7 |
Essas versões servem de referência para o código mantido pelo projeto Linux. Cada distribuição pode incorporar a correção a uma série anterior por meio de backport. Por isso, a confirmação deve ser feita pelo boletim que corresponde ao pacote instalado. No AlmaLinux 8, 9 e 10, por exemplo, os pacotes corrigidos chegaram aos repositórios de produção em 2 de novembro de 2026.
Como corrigir e reduzir a exposição
Identifique o kernel em execução com uname -r e confira o pacote corrigido no boletim da distribuição ou do fornecedor. Aplique a atualização primeiro nos hosts que recebem conexões TCP sobre IPv4 de redes não confiáveis. Após instalar o pacote e realizar a reinicialização conforme a orientação do fornecedor, confirme que o host está executando a versão corrigida. Essa verificação evita encerrar a atividade com o pacote novo instalado e o kernel vulnerável ainda em execução.
Se a atualização precisar aguardar uma janela de manutenção, restrinja o acesso às portas TCP às origens necessárias para a operação. Conforme o ambiente e a orientação do fornecedor, também é possível avaliar o bloqueio de pacotes TCP de entrada que carregam opções IPv4 e a desativação do MPTCP. Valide o impacto dessas mudanças sobre o tráfego legítimo. Desativar o MPTCP reduz a exposição à técnica demonstrada, e aplicar o patch do kernel corrige a condição de corrida.
This post is also available in: Português
