Uma falha no código TCP (Protocolo de Controle de Transmissão) do kernel Linux, identificada como CVE-2026-98432 (sistema de identificação de Vulnerabilidades e Exposições Comuns), afeta Ubuntu, Red Hat Enterprise Linux (RHEL) e outras distribuições Linux. A própria equipe de CVE do kernel classifica a falha com nota 9,8 em 10 na escala CVSS (Sistema de Pontuação de Vulnerabilidades Comuns).
A Anthropic afirmou em 27 de outubro que seu modelo de inteligência artificial escreveu um exploit que usa a falha para permitir que um atacante remoto, sem credenciais, execute comandos como root em servidores Linux com um serviço de escuta TCP multicaminho (MPTCP).
Até 29 de outubro, Ubuntu e RHEL não tinham lançado um kernel corrigido. Red Hat, Amazon, Oracle e SUSE atribuem à falha notas entre 5,9 e 8,1, abaixo da nota de 9,8 da equipe do kernel.
A falha é uma condição de corrida (race condition) no código que configura novas conexões TCP IPv4 (versão 4 do Protocolo de Internet). Ela pode fazer o kernel ler uma memória que já foi liberada, um tipo de bug conhecido como use-after-free.
A correção do kernel credita ao pesquisador da Anthropic Xinyang Ge a identificação do bug. Nem o registro CVE nem a correção mencionam o TCP multicaminho (MPTCP). A ligação entre esse recurso e o bug vem do post da Anthropic.
MPTCP permite que uma conexão use vários caminhos de rede ao mesmo tempo. No Linux, uma aplicação precisa solicitar o MPTCP ao abrir um socket.
O post da Anthropic diz que a falha "foi corrigida na linha principal do kernel e retroportada para todos os ramos estáveis mantidos". Para usuários de distribuições, essa correção só chega por meio do pacote de kernel do fornecedor. Debian, Oracle Linux, SUSE e Amazon Linux já lançaram pacotes corrigidos, ao menos para alguns de seus kernels, mas Ubuntu e RHEL ainda não.
Quais distribuições já têm correção
O Ubuntu também lista seus kernels para nuvem, FIPS (Padrão Federal de Processamento de Informação) e de tempo real como vulneráveis ou em desenvolvimento. A Red Hat diz que suas correções estão "atualmente adiadas para uma atualização futura". Nem a Red Hat nem o Ubuntu informam uma data de lançamento.
Como o bug funciona
A condição de corrida acontece durante o aperto de mãos (handshake) do TCP. Quando uma conexão é concluída, o kernel transfere as opções de IP (Protocolo de Internet) armazenadas com a solicitação pendente para o novo socket, sem copiá-las.
Se esse socket for destruído enquanto outra CPU (unidade central de processamento) ainda usa essas opções para responder a um pedido de conexão reenviado, o kernel lê uma memória já liberada.
O IPv6 não é afetado por essa condição de corrida, porque o kernel copia as opções para conexões IPv6.
O bug foi introduzido no Linux 4.4. Desenvolvedores do kernel aplicaram uma correção em 5 de outubro, dez dias antes da publicação do CVE.
A correção faz o kernel aguardar até que as outras CPUs terminem de ler as opções antes de liberá-las.
Por que as notas são diferentes
A equipe de CVE do kernel adicionou a nota 9,8 ao registro CVE em 24 de outubro, nove dias após a publicação do CVE.
A nota considera um atacante que envia uma solicitação de conexão TCP com as opções IPv4 Record Route ou Timestamp e, em seguida, reenvia a solicitação para tentar vencer a condição de corrida. A equipe classificou a complexidade do ataque como baixa e disse que os dois lados da corrida são "induzidos pelo atacante".
Nesse caso, segundo a equipe, o bug poderia enviar de volta ao atacante memória próxima do kernel, corromper a memória do kernel ou derrubar o sistema.
Até 28 de outubro, o National Vulnerability Database (NVD) ainda não tinha adicionado nota própria e mostrava a nota de 9,8 da equipe do kernel. A página do Ubuntu também exibe essa nota.
A página de CVE da Red Hat classifica a falha como Moderada, com nota 5,9, porque a condição de corrida é difícil de vencer. Segundo a página, o resultado mais provável é uma queda do kernel, com corrupção de memória possível em teoria, e "nenhum impacto na confidencialidade ou na integridade foi demonstrado".
O arquivo de avisos legível por máquina da Red Hat, atualizado em 29 de outubro, classifica o impacto como Importante e atribui nota 8,1, com alto impacto na confidencialidade e na integridade. O rastreador de bugs da Red Hat mudou a severidade do problema de média para alta no mesmo dia. Naquele dia, a página de CVE ainda mostrava Moderada e 5,9.
Oracle e SUSE também atribuem nota 8,1 à falha, com o mesmo vetor CVSS do arquivo de avisos da Red Hat. Essas notas coincidem com as da equipe do kernel em todas as métricas, exceto na complexidade do ataque, que os fornecedores classificam como alta e a equipe do kernel como baixa. A Amazon atribui nota 7,0.
O que a Anthropic diz ter criado
A Anthropic descreveu a exploração do Linux em um post de 27 de outubro sobre falhas que seu modelo de inteligência artificial, o Claude, encontrou e explorou. O The Hacker News cobriu o post em 28 de outubro. Segundo a Anthropic, o Claude escreveu o exploit após "instruções iniciais".
O exploit funciona em duas etapas. Primeiro, a condição de corrida faz o kernel enviar bytes extras de volta ao atacante. Quando uma dessas respostas contém um endereço do kernel, o atacante pode contornar a KASLR (randomização do layout do espaço de endereços do kernel).
Na segunda etapa, o mesmo bug causa um estouro de buffer e sobrescreve um ponteiro de callback com o endereço de uma carga útil (payload) que o atacante já havia colocado na memória do kernel. Quando o kernel chama esse ponteiro, a carga executa um comando de shell escolhido pelo atacante, como root.
Uma corrida perdida faz apenas aquela tentativa de conexão falhar e não derruba o sistema, então um atacante pode continuar tentando, afirmou a empresa. Em seu teste, vazar um endereço do kernel levou 48 minutos, e chegar à execução de comandos levou mais 5 minutos.
O post não inclui o código do exploit, a versão do kernel nem a configuração testada pela Anthropic.
A Red Hat diz que um atacante remoto que consiga acessar um serviço TCP exposto poderia acionar a condição de corrida. O exploit de root da Anthropic, porém, teve como alvo servidores com um serviço de escuta TCP multicaminho. O post não diz se servidores sem esse recurso podem ser invadidos da mesma forma.
Até 29 de outubro, nenhum dos avisos dos fornecedores, o registro CVE ou o post da Anthropic relata ataques usando a falha. Ela também não aparece em uma cópia do catálogo Known Exploited Vulnerabilities da CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA) atualizada pelo CIRCL (Centro de Resposta a Incidentes de Segurança de Luxemburgo) em 28 de outubro.
O que fazer agora
Onde sua distribuição já lançou um kernel corrigido, instale-o. A tabela acima lista os pacotes e avisos para Debian, Oracle Linux, SUSE e Amazon Linux.
Se você compila o próprio kernel, a correção está nas versões Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3. A equipe de CVE do kernel recomenda atualizar para o kernel estável mais recente. Ela afirma que a comunidade do kernel não oferece suporte à seleção de correções individuais (cherry-picking).
Ubuntu, RHEL e algumas versões da Amazon Linux e da SUSE ainda não têm um kernel corrigido para instalar. A Red Hat diz que nenhuma mitigação disponível atende aos seus padrões de ser fácil de implantar, adequada para a maioria das instalações e estável. Nenhum dos outros avisos dos fornecedores lista uma mitigação.
Os avisos e o post da Anthropic não dizem se desativar o TCP multicaminho, ou bloquear solicitações de conexão recebidas que carreguem opções de IP, reduziria o risco.
