Co se stalo
Vývojáři jádra Linuxu opravili chybu v části kódu, která navazuje nová síťová spojení přes TCP a IPv4. Chyba dostala označení CVE-2026-98432 a tým jádra Linuxu pro CVE ji zveřejnil 15. října 2026. Samotnou opravu vývojáři do jádra zařadili už 5. října 2026. Chybu podle The Hacker News nahlásil výzkumník společnosti Anthropic Xinyang Ge.
Chyba je v jádře od verze Linux 4.4 a podle The Hacker News postihuje Ubuntu, Red Hat Enterprise Linux i další distribuce. Společnost Anthropic 27. října 2026 zveřejnila, že její AI model Claude napsal funkční exploit. Útočník bez přihlašovacích údajů jím dokázal na dálku spustit příkazy s právy root na serveru, který přijímá spojení přes Multipath TCP (MPTCP).
K 29. říjnu 2026 žádné upozornění výrobců, záznam CVE ani příspěvek Anthropicu nehlásí skutečné útoky. Chyba není v katalogu CISA KEV a evropská databáze EUVD (EUVD-2026-102025) zneužití neuvádí. Opravené jádro ale zatím nevydalo Ubuntu ani Red Hat.
Proč je to nebezpečné
Jde o chybu typu use-after-free, tedy použití paměti, kterou jádro už uvolnilo. Vzniká při souběhu (race condition) během navazování TCP spojení. Představte si šatnu, kde šatnářka uvolní háček a pověsí na něj cizí kabát, zatímco kolega ještě vydává věc na starý lístek. Jádro podobně předá nastavení spojení novému soketu bez kopie, a pokud se soket zruší, zatímco je jiný procesor ještě čte, pracuje s pamětí, která už slouží něčemu jinému.
Útok vede přes síť a nevyžaduje přihlášení. Podle týmu jádra pro CVE může vést k úniku kousků paměti jádra, jejímu poškození nebo pádu systému. Anthropic ukázal i úplné převzetí serveru s právy root, pokud server naslouchá přes MPTCP: v jejich testu to trvalo přibližně 53 minut a neúspěšné pokusy systém neshodily. Go Security Team dodává, že chyba není na MPTCP vázaná a podobně zranitelné mohou být i systémy bez něj.
CVSS vyjadřuje závažnost na stupnici 0 až 10. Tým jádra Linuxu pro CVE dal chybě 9,8 podle CVSS 3.1, tedy kritickou úroveň. Databáze NVD k 28. říjnu vlastní hodnocení neměla a zobrazovala právě toto skóre. Výrobci distribucí hodnotí níže. Red Hat dává na stránce CVE 5,9, protože souběh považuje za těžko vyhratelný, ve svém strojově čitelném upozornění ale 8,1. Oracle a SUSE dávají 8,1, protože složitost útoku hodnotí jako vysokou. Amazon dává 7,0 a Ubuntu prioritu High.
Americká agentura CISA vede katalog KEV se skutečně zneužívanými chybami, tato v něm není. EPSS odhaduje pravděpodobnost zneužití v nejbližších 30 dnech: 29. října 2026 to bylo 0,39 %, více než u přibližně 33 % ostatních zranitelností. Protože Anthropic už prokázal, že útok funguje, nízké číslo není důvod opravu odkládat.
Koho se to týká
Chyba je v jádře Linuxu od verze 4.4 až po verze před opravou. Týká se běžných serverových distribucí: Ubuntu, Red Hat Enterprise Linux 8, 9 a 10 včetně OpenShift 4, Debian, SUSE, Oracle Linux a Amazon Linux. Typicky jde o webové a aplikační servery, VPS a cloudové instance, ale i kontejnery, které sdílejí jádro hostitele.
Největší riziko mají servery dostupné z internetu, zejména pokud na nich naslouchá služba přes MPTCP. Go Security Team upozorňuje, že programy v jazyce Go od verze Go 1.24 zapínají MPTCP pro naslouchající sokety na Linuxu automaticky.
Netýká se to RHEL 7, který Red Hat označuje za nezasažený. Popsaný souběh nepostihuje spojení přes IPv6, protože jádro u nich nastavení kopíruje. Pokud provozujete zařízení postavená na Linuxu, například NAS nebo síťové appliance, ověřte si opravu u jejich výrobce.
Jak zjistit, zda jste zasaženi
Nejprve zjistěte, jakou distribuci a jádro server právě používá. Tyto příkazy nic nemění, pouze čtou:
cat /etc/os-release
uname -rVerzi z uname -r porovnejte s opravenými verzemi v další části. Pozor: nové jádro se použije až po restartu, uname -r vždy ukazuje právě běžící jádro. Nainstalované balíčky jádra zobrazíte takto:
dpkg -l 'linux-image*' # Debian, Ubuntu
rpm -qa 'kernel*' # RHEL, Oracle Linux, SUSE, Amazon LinuxZda na serveru naslouchá služba přes MPTCP a jakou verzí Go byl program sestaven (pokud máte nainstalované nástroje Go), zjistíte takto:
ss -lM
go version /cesta/k/programuJak to opravit
Hlavním řešením je nainstalovat opravené jádro, což důrazně doporučuje i Go Security Team. Opravu obsahují jádra 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 a 7.3. Pokud si jádro kompilujete sami, tým jádra pro CVE doporučuje přejít na nejnovější stabilní jádro, přenášení jednotlivých oprav nepodporuje. Opravené balíčky distribucí k 29. říjnu 2026:
- Debian trixie:
linux6.12.113-1 (DSA-6568-1) - Debian 12 bookworm:
linux6.1.190-1 (DLA-4841-1) nebolinux-6.126.12.113-1~deb12u1 (DLA-4850-1) - Oracle Linux 7, 8, 9 a 10 s jádrem UEK: ELSA-2026-500397, ELSA-2026-500398, ELSA-2026-500399
- SUSE Linux Micro 6.2 a openSUSE Leap 16.0:
kernel-default6.12.0-160000.40.1 nebo novější - Amazon Linux 2023: kernel6.18-6.18.56-125.164.amzn2023 (ALAS2023-2026-3251), kernel6.12-6.12.113-138.209.amzn2023 (ALAS2023-2026-3335)
Opravu zatím nemají Ubuntu 16.04, 18.04, 20.04, 22.04, 24.04, 26.04 a 26.10, RHEL 8, 9 a 10, OpenShift 4, Amazon Linux 2, balíček kernel v Amazon Linux 2023, SLES 15 SP4 až SP6 LTSS a SP7, SLES 16.0 a SLE Micro 5.3 až 5.5. Postupujte takto:
- Sepište servery s Linuxem a jako první řešte ty dostupné z internetu a se službami přes MPTCP.
- Kde je oprava, nainstalujte ji běžnou aktualizací a server restartujte. Pak ověřte
uname -r. - Kde oprava není, sledujte upozornění výrobce a aktualizujte hned po vydání.
Red Hat uvádí, že nezná dočasné opatření, které by splňovalo jeho standardy, a ostatní výrobci žádné neuvádějí. Go Security Team popisuje, jak MPTCP v programech Go vypnout, sám to ale označuje za křehké opatření. Nastavení neplatí pro sokety, na kterých program MPTCP výslovně zapíná přes SetMultipathTCP:
GODEBUG=multipathtcp=0 # proměnná prostředí programu
godebug multipathtcp=0 # řádek v go.mod hlavního moduluVýrobci ani Anthropic neuvádějí, zda pomůže vypnutí MPTCP v systému nebo blokování paketů s IP options. Rozumné je alespoň omezit firewallem přístup ke službám, které nemusí být veřejné.
Co když už jste mohli být napadeni
K 29. říjnu 2026 výrobci, záznam CVE ani Anthropic nehlásí útoky s touto chybou a neuvádějí ani konkrétní indikátory napadení. Kontrola proto může být jen obecná:
- Výpis jádra: nečekané restarty a hlášení typu „kernel oops“ nebo „panic“. Red Hat označuje pád jádra za nejpravděpodobnější následek.
- Neznámé procesy běžící pod rootem, nové uživatelské účty, nové SSH klíče v
authorized_keysa nové úlohy vcron. - Neobvyklá odchozí spojení ze serveru.
Příkazy dmesg a journalctl -k ukazují jen aktuální běh systému. Předchozí běh zobrazí journalctl -k -b -1, ale jen pokud se žurnál ukládá trvale. Při tvrdém pádu se hlášení nemusí stihnout zapsat.
journalctl --list-boots
journalctl -k -b -1 | grep -iE 'oops|panic|BUG:|general protection'
dmesg -T | grep -iE 'oops|panic|BUG:|general protection'To, že server nepadá, nic nedokazuje, protože podle Anthropicu neúspěšný pokus systém neshodí. Pokud najdete něco podezřelého, odpojte server od sítě, nic nemažte a přizvěte odborníka na řešení incidentů. Útočník s právy root umí stopy zakrýt, proto se při potvrzeném průniku doporučuje server přeinstalovat.