Čo sa stalo
Vývojári jadra Linuxu opravili chybu v časti kódu, ktorá nadväzuje nové sieťové spojenia cez TCP a IPv4. Chyba dostala označenie CVE-2026-98432 a tím jadra Linuxu pre CVE ju zverejnil 15. októbra 2026. Samotnú opravu vývojári do jadra zaradili už 5. októbra 2026. Chybu podľa The Hacker News nahlásil výskumník spoločnosti Anthropic Xinyang Ge.
Chyba je v jadre od verzie Linux 4.4 a podľa The Hacker News postihuje Ubuntu, Red Hat Enterprise Linux aj ďalšie distribúcie. Spoločnosť Anthropic 27. októbra 2026 zverejnila, že jej AI model Claude napísal funkčný exploit. Útočník bez prihlasovacích údajov ním dokázal na diaľku spustiť príkazy s právami root na serveri, ktorý prijíma spojenia cez Multipath TCP (MPTCP).
K 29. októbru 2026 žiadne upozornenie výrobcov, záznam CVE ani príspevok Anthropicu nehlási skutočné útoky. Chyba nie je v katalógu CISA KEV a európska databáza EUVD (EUVD-2026-102025) zneužitie neuvádza. Opravené jadro však zatiaľ nevydali Ubuntu ani Red Hat.
Prečo je to nebezpečné
Ide o chybu typu use-after-free, teda použitie pamäte, ktorú jadro už uvoľnilo. Vzniká pri súbehu (race condition) počas nadväzovania TCP spojenia. Predstavte si šatňu, kde šatniarka uvoľní háčik a zavesí naň cudzí kabát, kým jej kolega ešte vydáva vec na starý lístok. Jadro podobne odovzdá nastavenia spojenia novému soketu bez kópie, a ak sa soket zruší, kým ich iný procesor ešte číta, pracuje s pamäťou, ktorá už slúži niečomu inému.
Útok ide cez sieť a nepotrebuje prihlásenie. Podľa tímu jadra pre CVE môže viesť k úniku kúskov pamäte jadra, jej poškodeniu alebo pádu systému. Anthropic ukázal aj úplné prevzatie servera s právami root, ak server počúva cez MPTCP: v ich teste to trvalo približne 53 minút a neúspešné pokusy systém nezhodili. Go Security Team dodáva, že chyba nie je na MPTCP viazaná a podobne zraniteľné môžu byť aj systémy bez neho.
CVSS vyjadruje závažnosť na stupnici 0 až 10. Tím jadra Linuxu pre CVE dal chybe 9,8 podľa CVSS 3.1, teda kritickú úroveň. Databáza NVD k 28. októbru vlastné hodnotenie nemala a zobrazovala práve toto skóre. Výrobcovia distribúcií hodnotia nižšie. Red Hat dáva na stránke CVE 5,9, lebo súbeh považuje za ťažko vyhrateľný, vo svojom strojovo čitateľnom upozornení však 8,1. Oracle a SUSE dávajú 8,1, lebo zložitosť útoku hodnotia ako vysokú. Amazon dáva 7,0 a Ubuntu prioritu High.
Americká agentúra CISA vedie katalóg KEV so skutočne zneužívanými chybami, táto v ňom nie je. EPSS odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch: 29. októbra 2026 to bolo 0,39 %, viac ako pri približne 33 % ostatných zraniteľností. Keďže Anthropic už preukázal, že útok funguje, nízke číslo nie je dôvod odkladať opravu.
Koho sa to týka
Chyba je v jadre Linuxu od verzie 4.4 až po verzie pred opravou. Týka sa bežných serverových distribúcií: Ubuntu, Red Hat Enterprise Linux 8, 9 a 10 vrátane OpenShift 4, Debian, SUSE, Oracle Linux a Amazon Linux. Typicky ide o webové a aplikačné servery, VPS a cloudové inštancie, ale aj kontajnery, ktoré zdieľajú jadro hostiteľa.
Najväčšie riziko majú servery dostupné z internetu, najmä ak na nich počúva služba cez MPTCP. Go Security Team upozorňuje, že programy v jazyku Go od verzie Go 1.24 zapínajú MPTCP pre počúvajúce sokety na Linuxe automaticky.
Netýka sa to RHEL 7, ktorý Red Hat označuje za nezasiahnutý. Opísaný súbeh nepostihuje spojenia cez IPv6, lebo jadro pri nich nastavenia kopíruje. Ak prevádzkujete zariadenia postavené na Linuxe, napríklad NAS alebo sieťové appliance, overte si opravu u ich výrobcu.
Ako zistiť, či ste zasiahnutí
Najprv zistite, akú distribúciu a jadro server práve používa. Tieto príkazy nič nemenia, iba čítajú:
cat /etc/os-release
uname -rVerziu z uname -r porovnajte s opravenými verziami v ďalšej časti. Pozor: nové jadro sa použije až po reštarte, uname -r vždy ukazuje práve bežiace jadro. Nainštalované balíky jadra zobrazíte takto:
dpkg -l 'linux-image*' # Debian, Ubuntu
rpm -qa 'kernel*' # RHEL, Oracle Linux, SUSE, Amazon LinuxČi na serveri počúva služba cez MPTCP a akou verziou Go bol program zostavený (ak máte nainštalované nástroje Go), zistíte takto:
ss -lM
go version /cesta/k/programuAko to opraviť
Hlavným riešením je nainštalovať opravené jadro, čo dôrazne odporúča aj Go Security Team. Opravu obsahujú jadrá 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 a 7.3. Ak si jadro kompilujete sami, tím jadra pre CVE odporúča prejsť na najnovšie stabilné jadro, prenášanie jednotlivých opráv nepodporuje. Opravené balíky distribúcií k 29. októbru 2026:
- Debian trixie:
linux6.12.113-1 (DSA-6568-1) - Debian 12 bookworm:
linux6.1.190-1 (DLA-4841-1) alebolinux-6.126.12.113-1~deb12u1 (DLA-4850-1) - Oracle Linux 7, 8, 9 a 10 s jadrom UEK: ELSA-2026-500397, ELSA-2026-500398, ELSA-2026-500399
- SUSE Linux Micro 6.2 a openSUSE Leap 16.0:
kernel-default6.12.0-160000.40.1 alebo novší - Amazon Linux 2023: kernel6.18-6.18.56-125.164.amzn2023 (ALAS2023-2026-3251), kernel6.12-6.12.113-138.209.amzn2023 (ALAS2023-2026-3335)
Opravu zatiaľ nemajú Ubuntu 16.04, 18.04, 20.04, 22.04, 24.04, 26.04 a 26.10, RHEL 8, 9 a 10, OpenShift 4, Amazon Linux 2, balík kernel v Amazon Linux 2023, SLES 15 SP4 až SP6 LTSS a SP7, SLES 16.0 a SLE Micro 5.3 až 5.5. Postupujte takto:
- Spíšte servery s Linuxom a ako prvé riešte tie dostupné z internetu a so službami cez MPTCP.
- Kde je oprava, nainštalujte ju bežnou aktualizáciou a server reštartujte. Potom overte
uname -r. - Kde oprava nie je, sledujte upozornenia výrobcu a aktualizujte hneď po vydaní.
Red Hat uvádza, že nepozná dočasné opatrenie, ktoré by spĺňalo jeho štandardy, a ostatní výrobcovia žiadne neuvádzajú. Go Security Team opisuje, ako MPTCP v programoch Go vypnúť, sám to však označuje za krehké opatrenie. Nastavenie neplatí pre sokety, na ktorých program MPTCP výslovne zapína cez SetMultipathTCP:
GODEBUG=multipathtcp=0 # premenná prostredia programu
godebug multipathtcp=0 # riadok v go.mod hlavného moduluVýrobcovia ani Anthropic neuvádzajú, či pomôže vypnutie MPTCP v systéme alebo blokovanie paketov s IP options. Rozumné je aspoň obmedziť firewallom prístup k službám, ktoré nemusia byť verejné.
Čo ak už ste mohli byť napadnutí
K 29. októbru 2026 výrobcovia, záznam CVE ani Anthropic nehlásia útoky s touto chybou a neuvádzajú ani konkrétne indikátory napadnutia. Kontrola preto môže byť len všeobecná:
- Výpis jadra: nečakané reštarty a hlásenia typu „kernel oops“ alebo „panic“. Red Hat označuje pád jadra za najpravdepodobnejší následok.
- Neznáme procesy bežiace pod rootom, nové používateľské účty, nové SSH kľúče v
authorized_keysa nové úlohy vcron. - Nezvyčajné odchádzajúce spojenia zo servera.
Príkazy dmesg a journalctl -k ukazujú len aktuálny beh systému. Predchádzajúci beh zobrazí journalctl -k -b -1, ale len ak sa žurnál ukladá trvalo. Pri tvrdom páde sa hlásenie nemusí stihnúť zapísať.
journalctl --list-boots
journalctl -k -b -1 | grep -iE 'oops|panic|BUG:|general protection'
dmesg -T | grep -iE 'oops|panic|BUG:|general protection'To, že server nepadá, nič nedokazuje, lebo podľa Anthropicu neúspešný pokus systém nezhodí. Ak nájdete niečo podozrivé, server odpojte od siete, nič nemažte a prizvite odborníka na riešenie incidentov. Útočník s právami root vie stopy zakryť, preto sa pri potvrdenom prieniku odporúča server preinštalovať.