Een kritieke TCP-kwetsbaarheid in de Linux-kernel maakt remote code execution mogelijk en wordt actief gescand door aanvallers.
Beveiligingsonderzoeker Marcus Hutchins meldt dat een aanvaller het internet afzoekt naar Linux-servers die kwetsbaar zijn voor een ernstig TCP-lek. Deze kwetsbaarheid, bekend als CVE-2026-98432, betreft een race condition in de IPv4 TCP stack van de Linux-kernel en maakt het mogelijk om op afstand code uit te voeren.
De impactscore van deze kwetsbaarheid is met 9,8 zeer hoog, wat betekent dat een aanvaller in het ergste geval volledige controle over een Linux-server kan verkrijgen. Het AI-bedrijf Anthropic heeft een werkende exploit ontwikkeld waarmee via speciaal geprepareerde packets naar een kwetsbare server met een Multipath TCP (MPTCP) listener willekeurige commando's als root kunnen worden uitgevoerd, zonder dat er inloggegevens of gebruikersinteractie nodig zijn.
Misbruik van CVE-2026-98432 is alleen mogelijk wanneer MPTCP in de kernel is ingeschakeld en er een applicatie of service actief is die een MPTCP socket bindt. Diverse Linux-distributies, waaronder Debian, hebben MPTCP standaard ingeschakeld. Ook de programmeertaal Go vanaf versie 1.24 bindt standaard MPTCP sockets als de kernel dit ondersteunt, waardoor applicaties die op Go zijn gebaseerd automatisch een MPTCP listener kunnen aanmaken.
Hutchins voerde een scan uit op poort 443 en vond ongeveer 2,1 miljoen Linux-servers die via MPTCP bereikbaar zijn. Een uitgebreidere scan waarbij een volledige TLS-verbinding met MPTCP werd opgezet, leverde bijna 763.000 kwetsbare systemen op. Door het grote aantal kwetsbare servers is de kans groot dat aanvallers exploits voor deze kwetsbaarheid zullen ontwikkelen.
Verschillende Linux-distributies hebben inmiddels updates uitgebracht om het lek te dichten. Ubuntu kreeg kritiek omdat het nog geen patches beschikbaar stelt. Het is van belang dat beheerders hun systemen tijdig updaten om misbruik te voorkomen.
