Ubuntu ontwikkelt nog een update voor een ernstig lek in de TCP-code van de Linux-kernel dat remote code execution mogelijk maakt zonder gebruikersinteractie.
Ubuntu is nog bezig met het ontwikkelen van een update voor een kritieke kwetsbaarheid in de TCP-code van de Linux-kernel. Dit maakte de ontwikkelaar van de Linux-distributie bekend na online discussie over het uitblijven van een patch. Het Nationaal Cyber Security Centrum (NCSC) noemt het lek opvallend vanwege de mogelijkheid tot misbruik op afstand zonder interactie van gebruikers.
De kwetsbaarheid, geregistreerd als CVE-2026-98432, betreft een race condition in de IPv4 TCP-stack van de Linux-kernel. Hierdoor is remote code execution mogelijk, waarmee een aanvaller in het ergste geval volledige controle over Linux-servers kan verkrijgen. De CVSS-score van deze kwetsbaarheid is 9.8 op een schaal van 10.
Het AI-bedrijf Anthropic meldt dat het een werkende exploit heeft ontwikkeld. Door speciaal geprepareerde pakketten te sturen naar een kwetsbare Linux-server met een multipath TCP listener, kunnen aanvallers willekeurige commando's uitvoeren met rootrechten, zonder dat inloggegevens of gebruikersinteractie nodig zijn.
Volgens het NCSC is grootschalig misbruik niet waarschijnlijk vanwege de complexiteit van het misbruik en aanvullende beveiligingsmaatregelen in bekende distributies. Toch benadrukt het centrum dat kwetsbaarheden in netwerkstacks van de kernel zeldzaam zijn en een groot risico vormen omdat ze op afstand en zonder authenticatie kunnen worden misbruikt.
Debian bracht op 16 oktober al beveiligingsupdates uit, maar voor Ubuntu zijn nog geen patches beschikbaar. Een ontevreden Ubuntu-gebruiker publiceerde recent het artikel WTF Ubuntu?, waarin wordt geklaagd over het uitblijven van een update ondanks de ernst van de kwetsbaarheid. Dit artikel kreeg ruim zeshonderd reacties op Hacker News.
Ubuntu heeft inmiddels gereageerd en laat weten dat er gewerkt wordt aan updates. Voor gebruikers die zelf kernel acceptatietesten uitvoeren is er een update beschikbaar in de -proposed pocket, de testrepository van Ubuntu. Wanneer de patch voor CVE-2026-98432 in de reguliere repositories verschijnt, is nog niet bekend.
Het NCSC adviseert om koelsystemen niet direct aan het internet te koppelen en sterke wachtwoorden te gebruiken als aanvullende beveiligingsmaatregelen.
