Linux-Kernel: TCP-Lücke mit CVSS 9,8 – Ubuntu und Red Hat noch ohne Patch

Im TCP-Code des Linux-Kernels steckt eine schwere Sicherheitslücke: CVE-2026-98432. Das CVE-Team des Kernels bewertet sie mit 9,8 von 10 Punkten. Betroffen sind praktisch alle gängigen Distributionen, darunter Ubuntu und Red Hat Enterprise Linux (RHEL). Für beide gibt es Stand 29. Oktober 2026 noch keinen gepatchten Kernel. Debian, Oracle Linux, SUSE und Amazon Linux haben dagegen zumindest für einen Teil ihrer Kernel schon Updates ausgeliefert.

Das Wichtigste in Kürze

• Was: Eine Race Condition beim Aufbau neuer IPv4-TCP-Verbindungen führt zu einem Use-after-free. Der Kernel liest dabei Speicher, den er schon freigegeben hat.
• Wie gefährlich: Laut Anthropic kann ein Angreifer ohne Zugangsdaten aus der Ferne Befehle als root ausführen, wenn auf dem Server ein Multipath-TCP-Dienst lauscht.
• Seit wann: Der Fehler steckt seit Linux 4.4 im Kernel. Der Fix landete am 5. Oktober 2026 im Hauptzweig.
• Patch-Stand: Debian, Oracle Linux, SUSE (teilweise) und Amazon Linux (teilweise) sind gepatcht. Ubuntu und RHEL haben noch keinen Termin.
• Angriffe: Bisher sind keine Angriffe in freier Wildbahn bekannt.

So funktioniert die Lücke

Der Fehler passiert während des TCP-Handshakes. Wird eine Verbindung fertig aufgebaut, übergibt der Kernel die IP-Optionen der wartenden Verbindungsanfrage an den neuen Socket, ohne sie zu kopieren. Wird dieser Socket zerstört, während ein anderer CPU-Kern die Optionen noch nutzt, um auf eine wiederholte Verbindungsanfrage zu antworten, greift der Kernel auf bereits freigegebenen Speicher zu.

IPv6 ist davon nicht betroffen, weil der Kernel die Optionen dort kopiert. Der Fix sorgt dafür, dass der Kernel wartet, bis andere Kerne fertig gelesen haben, bevor er die Optionen freigibt. Gemeldet hat den Fehler der Anthropic-Forscher Xinyang Ge.

Was Anthropic mit dem Fehler gebaut hat

Anthropic hat am 27. Oktober 2026 beschrieben, dass sein KI-Modell Claude nach einer ersten Anleitung einen funktionierenden Exploit für die Lücke geschrieben hat. Der Angriff läuft in zwei Stufen:

• Speicheradresse abgreifen: Durch das Wettrennen schickt der Kernel zusätzliche Bytes an den Angreifer zurück. Enthält eine Antwort eine Kernel-Adresse, ist die Adressverwürfelung KASLR ausgehebelt.
• Code ausführen: Über denselben Fehler läuft ein Puffer über und überschreibt einen Funktionszeiger. Ruft der Kernel ihn auf, führt er einen beliebigen Befehl als root aus.

Ein verlorenes Wettrennen lässt nur den einzelnen Verbindungsversuch scheitern, das System stürzt nicht ab. Der Angreifer kann es also beliebig oft versuchen. Im Test von Anthropic dauerte es 48 Minuten bis zur Kernel-Adresse und weitere 5 Minuten bis zur Befehlsausführung. Exploit-Code, getestete Kernel-Version und Konfiguration hat Anthropic nicht veröffentlicht.

Wichtig: Der Root-Exploit zielte auf Server mit einem Multipath-TCP-Listener (MPTCP). Damit kann eine Verbindung mehrere Netzwerkpfade gleichzeitig nutzen. Unter Linux muss eine Anwendung MPTCP beim Öffnen des Sockets ausdrücklich anfordern. Weder der CVE-Eintrag noch der Kernel-Fix erwähnen MPTCP, der Zusammenhang stammt nur aus Anthropics Beitrag. Ob sich Server ohne MPTCP auf dieselbe Weise übernehmen lassen, ist offen. Red Hat schreibt allgemein, dass ein Angreifer die Race Condition über jeden erreichbaren TCP-Dienst auslösen könnte.

Warum die Bewertungen so weit auseinandergehen

Die 9,8 Punkte vergab das CVE-Team des Kernels am 24. Oktober. Es geht von einem Angreifer aus, der Verbindungsanfragen mit den IPv4-Optionen „Record Route“ oder „Timestamp“ schickt und sie wiederholt, bis er das Wettrennen gewinnt. Die Angriffskomplexität stuft das Team als niedrig ein, weil der Angreifer beide Seiten des Wettrennens selbst auslöst.

Die Hersteller sehen das anders. Red Hat nennt auf der CVE-Seite „Moderate“ mit 5,9 Punkten, weil das Wettrennen schwer zu gewinnen sei. In der maschinenlesbaren Sicherheitsmeldung vom 29. Oktober stehen dagegen „Important“ und 8,1 Punkte. Oracle und SUSE bewerten ebenfalls mit 8,1, Amazon mit 7,0. Der Unterschied liegt fast nur bei der Angriffskomplexität, die die Hersteller als hoch einstufen.

Welche Distributionen schon einen Patch haben

Ubuntu führt auch seine Cloud-, FIPS- und Echtzeit-Kernel als verwundbar oder in Arbeit. Red Hat schreibt, die Fixes seien „auf ein künftiges Update verschoben“. Ein Datum nennen weder Red Hat noch Canonical.

Was du jetzt tun solltest

• Kernel aktualisieren: Gibt es für deine Distribution schon ein Update, spiel es ein und starte neu. Erst nach dem Neustart läuft der gepatchte Kernel. Prüfen kannst du die laufende Version mit uname -r.
• Eigene Kernel: Der Fix steckt in Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 und 7.3. Das Kernel-Team rät, auf den neuesten Stable-Kernel zu gehen statt einzelne Fixes zu übernehmen.
• Ubuntu und RHEL: Hier hilft vorerst nur Abwarten und die Sicherheitsseiten im Blick behalten. Red Hat kennt keine Gegenmaßnahme, die einfach, stabil und für die meisten Installationen geeignet wäre.
• Angriffsfläche klein halten: Dienste, die nicht aus dem Internet erreichbar sein müssen, gehören hinter eine Firewall oder ein VPN. Das gilt hier besonders für Dienste mit Multipath-TCP.

Ob es hilft, Multipath-TCP abzuschalten oder Verbindungsanfragen mit IP-Optionen zu blockieren, sagen weder die Hersteller noch Anthropic. Solche Maßnahmen ersetzen den Patch also nicht.

Einordnung

Ein Fehler, der seit Linux 4.4 unentdeckt im TCP-Stack steckt, trifft eine riesige Zahl an Servern, Routern und NAS-Systemen. Bemerkenswert ist der Weg dorthin: Ein KI-Modell hat nicht nur den Fehler gefunden, sondern auch einen Exploit bis zur Root-Shell geschrieben. Die gute Nachricht: Bislang sind keine Angriffe bekannt, und für viele Systeme liegt der Patch schon bereit. Wer Ubuntu oder RHEL betreibt, sollte die Updates der nächsten Tage genau verfolgen.

Quellen: The Hacker News: Linux Kernel TCP Flaw With 9.8 CVSS Score Affects Ubuntu, Red Hat and Other Distributions, CVE-Eintrag CVE-2026-98432. Titelbild: KI-generiert (Symbolbild).