Nota 9,8 de 10 no CVSS 3.1: é assim que o registro do kernel Linux classifica a CVE-2026-98432, uma falha de uso após liberação de memória (use-after-free) na pilha IPv4/TCP. Em 30 de outubro de 2026, o Ubuntu atualizou o aviso da vulnerabilidade, ainda sem pacote corrigido para as versões suportadas, enquanto o Debian já distribuía kernels consertados para as duas versões estáveis.
O problema aparece quando um socket filho herda as opções de IP do pedido de conexão e outra CPU, ao responder a um SYN retransmitido, usa essas opções depois de liberadas. Em laboratório, pesquisadores demonstraram execução remota de comandos como root em servidores com listener MPTCP, segundo levantamento do blog Penligent. Não havia relato confirmado de exploração em ataques reais até a última atualização dos avisos.
Servidor com Debian 12 ou 13
É o cenário mais simples. O rastreador de segurança do Debian lista estas versões já corrigidas:
| Release | Pacote | Versão corrigida |
|---|---|---|
| bookworm (Debian 12) | linux | 6.1.190-1 |
| bookworm (Debian 12) | linux-6.12 | 6.12.113-1~deb12u1 |
| trixie (Debian 13) | linux | 6.12.113-1 |
Rode apt update && apt list –upgradable | grep linux-image, instale o pacote e reinicie. Sem o reboot, o kernel antigo continua carregado na memória.
Servidor com Ubuntu LTS
Aqui a correção ainda não tinha chegado. A página da Canonical sobre a CVE-2026-98432 marca a prioridade como alta e mostra o pacote principal como vulnerável, com trabalho em andamento:
- 26.10: correção prevista em 7.3.0-10.10;
- 26.04 LTS: 7.0.0-43.43;
- 24.04 LTS: 6.8.0-149.149;
- 22.04 LTS: 5.15.0-203.213.
Os kernels de nuvem (linux-aws, linux-azure, linux-gcp, linux-oracle, linux-gke) e o linux-raspi têm entradas próprias. Cada variante precisa ser checada separadamente, porque um pode sair antes do outro. Enquanto o pacote não chega, a medida possível é reduzir a superfície de ataque, como mostra a seção seguinte.
Serviço em Go ou com MPTCP ligado
O cenário de execução remota demonstrado depende de um listener MPTCP. O ponto que pega muita equipe de surpresa: versões recentes do Go podem usar MPTCP em listeners TCP quando o sistema oferece suporte, sem que ninguém tenha configurado isso de propósito.
- Verifique o estado com sysctl net.mptcp.enabled.
- Liste os serviços que aceitam conexões externas e identifique os escritos em Go.
- Nos binários Go, desative o recurso com GODEBUG=multipathtcp=0 ou SetMultipathTCP(false) até o kernel ser atualizado.
- Desligar o MPTCP onde ele não é usado reduz a exposição, mas não fecha a falha: o erro de memória continua no kernel.
A falha atinge IPv6?
A primeira parte do problema, não. A migração de request sockets tem uma questão parecida no IPv6, que será tratada em um patch separado, segundo a descrição do Debian.
Red Hat, AlmaLinux e Rocky Linux
O status por produto da Red Hat deve ser lido no boletim RHSB-2026-016 e na página da CVE da empresa. Para AlmaLinux e Rocky Linux, o levantamento da Penligent não conseguiu confirmar uma correção específica até 31 de outubro, e o portal GeekZilla registrou o mesmo quadro de avisos em andamento. Trate essas distribuições como vulneráveis até que o fornecedor publique o pacote.
Checagem que engana: confiar só no uname
As distribuições aplicam correções em versões antigas do kernel (backport), então o número que aparece em uname -r não diz se a máquina está protegida. Um 6.1 do Debian pode estar corrigido, e um 6.12 compilado à mão pode não estar. Compare sempre a versão do pacote instalado com a do aviso do fornecedor, e confirme depois do reboot que o kernel em execução é o novo. Quem acompanhou a falha crítica do PHP em firewalls já viu o mesmo erro deixar máquinas expostas por semanas.
