LinuxRed Hat выпустила исправленные ядра для Red Hat Enterprise Linux (RHEL) 8, 9 и 10, а 3 ноября такие же обновления получила Rocky Linux. Для Ubuntu исправления пока доступны только в тестовом канале -proposed: Canonical сообщила 2 ноября, что проверяет их и выпустит в обычный канал обновлений после завершения тестов, но дату не назвала.
Уязвимость CVE-2026-98432 – ошибка типа use-after-free в коде ядра, который устанавливает TCP-соединения по IPv4. Она есть в ядре начиная с Linux 4.4 и позволяет удаленному злоумышленнику без учетных данных обратиться к уже освобожденной памяти ядра, отправляя запросы на подключение с параметрами IPv4 Record Route или Timestamp на любой открытый TCP-порт. Команда ядра Linux оценила ее в 9.8 балла из 10, Red Hat сначала указывала 5.9 балла, но затем повысила оценку до 9.8 и уровня Critical. Подробно об уязвимости и эксплойте Anthropic мы писали 1 ноября.
Исправления в RHEL и Rocky Linux
Основные исправления для RHEL Red Hat выпустила 1 ноября, а 2 и 3 ноября добавила обновления для версий с расширенной поддержкой и для RHEL 10 с драйверами NVIDIA. Новое ядро начинает работать после перезагрузки.
| Версия | Исправленное ядро | Бюллетень |
|---|---|---|
| RHEL 10 | kernel-6.12.0-211.72.1.el10_2 | RHSA-2026:93413 |
| RHEL 10 для NVIDIA | kernel-6.12.0-265.31.el10nv | RHSA-2026:93775 |
| RHEL 9 | kernel-5.14.0-687.64.1.el9_8 | RHSA-2026:93412 |
| RHEL 9.4 для SAP | kernel-5.14.0-427.161.1.el9_4 | RHSA-2026:94109 |
| RHEL 8 | kernel-4.18.0-553.182.1.el8_10, kernel-rt-4.18.0-553.182.1.rt7.523.el8_10 | RHSA-2026:93414, RHSA-2026:93415 |
| RHEL 8.8 TUS и для SAP | kernel-4.18.0-477.178.1.el8_8 | RHSA-2026:94303 |
По данным Red Hat на 3 ноября, исправлений еще нет для ядра реального времени в RHEL 9 и для OpenShift 4 и 5. RHEL 6 и 7 уязвимость не затрагивает.
Rocky Linux 3 ноября выпустила обновления ядра RLSA-2026:93414 для Rocky Linux 8, RLSA-2026:93412 для Rocky Linux 9 и RLSA-2026:93413 для Rocky Linux 10. Номера бюллетеней совпадают с исправлениями RHEL. AlmaLinux 2 ноября перевела исправленные ядра kernel-4.18.0-553.182.1.el8_10, kernel-5.14.0-687.64.1.el9_8 и kernel-6.12.0-211.72.1.el10_2 из тестового репозитория в основной, так что для AlmaLinux 8, 9 и 10 достаточно обычного обновления системы.
Ubuntu: исправления в канале -proposed
Исправленные ядра для Ubuntu 22.04 LTS, 24.04 LTS и 26.04 LTS находятся в канале -proposed. Пакеты из него не устанавливаются автоматически: этот канал предназначен для проверки обновлений перед выпуском. Canonical объясняет, что тестирует обновления ядра на более чем 2000 сертифицированных серверах и устройствах и выпустит их в обычный канал updates, как только проверка закончится.
| Выпуск Ubuntu | Ядро с исправлением | Состояние |
|---|---|---|
| 26.10 | 7.3.0-10.10 | Готовится к выпуску |
| 26.04 LTS | 7.0.0-43.43 | В канале -proposed |
| 24.04 LTS | 6.8.0-149.149 | В канале -proposed |
| 22.04 LTS | 5.15.0-203.213 | В канале -proposed |
| 20.04, 18.04, 16.04 | – | Исправление ожидается |
Для Ubuntu 26.10 Canonical в блоге называет ядро 7.3.0-10.10 исправленным, но на странице уязвимости на 3 ноября оно, как и ядра для LTS-версий, значится в работе. Там же в работе исправленные ядра для облачных платформ AWS, Azure, Google Cloud и Oracle, а также для FIPS, Raspberry Pi и вариантов с низкими задержками и реального времени. Ubuntu 20.04 и 18.04 получат исправления в рамках расширенной поддержки ESM, а 16.04 – в ESM с дополнением Legacy, для этого нужна подписка Ubuntu Pro.
Администраторы, которые не хотят ждать, могут установить ядро из канала -proposed. Сначала подключите канал для основного компонента архива, в который входят ядра Linux:
sudo add-apt-repository --component main --pocket proposed http://archive.ubuntu.com/ubuntu
Затем обновите список пакетов и явно установите ядро из -proposed. Команда работает, если ядро установлено через метапакет, как это сделано по умолчанию:
sudo apt update
dpkg-query -W -f '${source:Package}\t${binary:Package}\n' | awk '$1 ~ "^linux-meta" { print $2 }' | xargs sudo apt install -t $(. /etc/os-release && echo $VERSION_CODENAME)-proposed --only-upgrade
sudo reboot
После перезагрузки сравните версию работающего ядра с таблицей выше:
uname -r
Список установленных пакетов ядра можно посмотреть командой:
dpkg -l 'linux-image*' | grep ^ii
Временные меры и эксплуатация
Пока обновления нет, Red Hat предлагает отбрасывать входящие TCP-пакеты IPv4 с параметрами IP с помощью правила nftables – оно описано в нашей статье от 1 ноября. Правило перекрывает известный способ вызвать ошибку, но не исключает атаку полностью и действует только на том узле, где загружено: трафик между контейнерами на одном хосте может его обходить.
Отключать Multipath TCP (MPTCP), как советуют некоторые источники, недостаточно. Canonical напоминает, что ошибка находится в обработке TCP-соединений по IPv4 и не связана с MPTCP: эксплойт Anthropic просто использовал сокет MPTCP. «Команда безопасности Ubuntu считает, что единственная подходящая мера защиты – обновления безопасности», – говорится в сообщении компании.
Сообщений о реальных атаках нет, в каталог активно эксплуатируемых уязвимостей CISA KEV проблема не внесена. Anthropic код своего эксплойта не публиковала. На GitHub уже больше 60 репозиториев с проверками и временными мерами. В описаниях части из них заявлены воспроизведение ошибки, утечка памяти ядра и обход KASLR, но не выполнение кода.
