Kernel stabil Linux merilis perbaikan untuk CVE-2026-98432, yaitu kerentanan *use-after-free* pada jabat tangan IPv4 TCP yang dapat dijangkau oleh pihak ketiga jarak jauh tanpa otentikasi. Otoritas Penomoran CVE kernel memberikan skor CVSS 3.1 9.8 dengan kategori Kritis, yang bermula dari kernel Linux 4.4.
Status Kerentanan dan Distribusi
Kerentanan ini terletak pada kode yang dijalankan setiap server Linux ketika menerima koneksi TCP IPv4 sebelum aplikasi melihat koneksi tersebut. Anthropic, yang perisetnya melaporkan temuan ini, menyatakan bahwa model kecerdasan buatan Claude menulis draf eksploitasi kerja yang menjalankan perintah sebagai *root* pada server Linux dengan pendengar *multipath* TCP tanpa kredensial.
Setiap kernel Linux dari versi 4.4 ke atas yang belum diperbarui rentan terhadap masalah ini, baik melayani jaringan secara langsung maupun menjalankan kontainer. Berdasarkan pembaruan per 31 Oktober 2026, status distribusi Linux bervariasi. Ubuntu masih mencatat paket kernel sebagai rentan di semua rilis dengan status perbaikan dalam pengerjaan untuk beberapa versi. Red Hat menaikkan tingkat keparahan menjadi Kritis dan mencantumkan RHEL 8, 9, serta 10 sebagai terdampak tanpa perbaikan bawaan, sementara AlmaLinux menyediakan kernel perbaikan di repositori pengujian. Debian telah memperbaiki celah ini pada versi 12 dan 13, SUSE menilainya penting dengan beberapa versi telah diperbaiki, Oracle Linux merilis errata UEK sejak 16 Oktober, dan Amazon Linux telah memperbaiki seluruh kernelnya.
Cara Kerja dan Perbaikan
Ketika server Linux menerima koneksi TCP, kernel melacak jabat tangan setengah terbuka dalam soket permintaan ringan, lalu membuat soket penuh setelah jabat tangan selesai. Masalah muncul ketika kernel menyerahkan opsi yang disimpan dari soket permintaan ke koneksi baru tanpa menyalinnya, lalu langsung menghapusnya saat koneksi terputus sementara CPU lain masih membacanya.
Perbaikan hulu yang dibuat oleh Eric Dumazet mengubah panggilan fungsi penghapusan menjadi mekanisme penundaan yang menunggu setiap pembaca selesai menggunakan memori sebelum menghapusnya. Setiap hos Linux yang menerima koneksi TCP IPv4 pada kernel terdampak seperti peladen web, SSH, basis data, penyeimbang beban, dan simpul Kubernetes berada dalam paparan.
Pemeriksaan dan Mitigasi Sistem
Pengguna disarankan memeriksa versi kernel yang berjalan dan membandingkannya dengan status distribusi, serta memastikan melakukan *reboot* karena pembaruan kernel tidak aktif sebelum komputer dinyalakan ulang. Pemeriksaan pendengar *multipath* TCP dapat dilakukan menggunakan utilitas jaringan karena program Go mengaktifkan fitur tersebut secara berkala pada soket pendengar di Linux sejak versi 1.24.
Bagi sistem yang belum dapat menerapkan penambalan, Red Hat dan AlmaLinux menerbitkan aturan *nftables* atau *iptables* yang membuang paket TCP IPv4 masuk yang membawa opsi IP. Mematikan *multipath* TCP juga dapat dilakukan jika tidak digunakan untuk menghilangkan pengaturan yang dibutuhkan oleh eksploitasi, meskipun tidak menghilangkan kerentanan intinya.
Sumber: Hacker News: Front Page
