Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Eine kritische Linux-Kernel-Lücke im TCP/IP-Stack betrifft nahezu alle Linux-Distributionen, darunter Debian, Red Hat, Suse und Ubuntu. Die Schwachstelle CVE-2026-98432 ist mit CVSS 9,8 bewertet und erlaubt Angreifern über das Netzwerk, ohne Anmeldung Speicher im Kernel zu beschädigen und im schlimmsten Fall eigenen Code auszuführen.
Der Fehler steckt seit Kernel-Version 4.4 aus dem Jahr 2015 im Code und blieb elf Jahre unentdeckt. Gefunden hat ihn Anthropic bei systematischen Tests mit dem KI-Modell Claude. Die Kernel-Entwickler haben die Lücke am 15. Oktober 2026 behoben, die Distributionen liefern die Updates gerade nach und nach aus.
Das Wichtigste in Kürze
- CVE-2026-98432 ist ein Use-after-free-Fehler im IPv4-TCP-Code des Linux-Kernels, ausnutzbar über das Netzwerk ohne Anmeldung.
- Betroffen sind alle Kernel ab Version 4.4 bis zu den korrigierten Fassungen, also fast jeder Linux-Server und jede Linux-Appliance.
- IPv6-Verbindungen sind vom Hauptfehler nicht betroffen.
- Ein funktionierender Exploit existiert, ist aber nicht öffentlich. Angriffe sind bislang nicht bekannt.
- Abhilfe schafft nur ein korrigierter Kernel mit anschließendem Neustart.
- Für Ubuntu gibt es noch keine Patches, Sophos arbeitet ebenfalls noch an Updates.
So funktioniert die Linux-Kernel-Lücke
Die Schwachstelle liegt im Verbindungsaufbau von TCP über IPv4. Schickt ein Client beim Verbindungsaufbau IP-Optionen mit, speichert der Kernel diese in einem vorläufigen Verbindungsobjekt. Sobald die Verbindung steht, übernimmt die eigentliche Verbindung diese Optionen, ohne sie zu kopieren. Beide Objekte zeigen danach auf denselben Speicher.
Verarbeitet ein zweiter Prozessorkern gleichzeitig eine wiederholte Verbindungsanfrage, liest er diese Optionen noch, während der erste Kern die Verbindung bereits abbaut und den Speicher freigibt. Laut der Beschreibung der Kernel-Entwickler entsteht so ein Use-after-free: Der Kernel arbeitet mit Speicher, der schon wieder anderweitig vergeben sein kann. Je nach Ablauf führt das zum Absturz des Systems, zum Abfluss von Kernel-Speicher an den Angreifer oder zu Schreibzugriffen außerhalb des vorgesehenen Bereichs.
Laut der Begründung zur CVSS-Bewertung kann ein Angreifer die nötigen Verbindungsanfragen beliebig oft wiederholen, bis das knappe Zeitfenster getroffen ist. Da der Fehler beim Verbindungsaufbau auftritt, greift er, bevor ein Dienst überhaupt nach Zugangsdaten fragt.
Die Korrektur selbst ist klein. Zwei Stellen im Kernel geben den Speicher jetzt erst frei, wenn kein anderer Kern mehr darauf zugreift.
IPv6 ist nicht betroffen
Bei IPv6 kopiert der Kernel die Optionen beim Verbindungsaufbau. Der beschriebene Hauptfehler tritt dort deshalb nicht auf. Ein Schutz für IPv4-Dienste ist das allerdings nicht.
Welche Linux-Kernel-Versionen betroffen sind
| Kernel-Zweig | Behoben ab |
|---|---|
| 6.12 | 6.12.113 |
| 6.18 | 6.18.56 |
| 7.2 | 7.2.10 |
| 7.3 | 7.3-rc7 |
Betroffen sind alle Kernel ab Version 4.4. Die Tabelle nennt die Versionen, in denen der Fehler laut Greg Kroah-Hartman, dem Betreuer der stabilen Kernel-Zweige, behoben ist.
Der Stand bei den Distributionen ist unterschiedlich. Debian hat korrigierte Kernel für Bookworm (6.1.190) und Trixie (6.12.113) veröffentlicht. Für Ubuntu gibt es noch keine Patches: Laut Canonical sind die Kernel-Updates für alle unterstützten Versionen, auch 24.04 LTS und 26.04 LTS, am 2. November 2026 noch in Arbeit. Red Hat stuft die Lücke als kritisch ein und hat ein eigenes Security Bulletin herausgegeben. Sophos arbeitet nach unseren Informationen derzeit an Updates für die eigenen Produkte auf Linux-Basis.
Warum MPTCP-Dienste besonders gefährdet sind
Der bislang einzige bekannte Exploit stammt von Anthropic und zielt auf Server, die Multipath TCP (MPTCP) anbieten. MPTCP verteilt eine Verbindung auf mehrere Netzwerkwege und muss von einem Dienst ausdrücklich angefordert werden. Laut Anthropic gelang damit eine vollständige Übernahme des Servers mit Root-Rechten, ohne Zugangsdaten und ohne Zutun eines Benutzers.
Offen ist, ob ein Angriff zwingend einen MPTCP-Dienst voraussetzt. Der Fehler selbst sitzt im allgemeinen TCP-Code.
Go-Anwendungen nutzen MPTCP standardmäßig
Programme, die mit Go ab Version 1.24 gebaut sind, nehmen Verbindungen per Default über MPTCP an. Damit erfüllen viele moderne Server-Dienste die Voraussetzung des bekannten Angriffs. Bis der korrigierte Kernel läuft, lässt sich MPTCP abschalten, etwa systemweit per sysctl oder für Go-Programme über die Umgebungsvariable GODEBUG=multipathtcp=0. Den Fehler selbst beseitigt das nicht.
Kernel-Version und MPTCP-Dienste prüfen
Mit diesen Befehlen prüfen Sie die laufende Kernel-Version und offene MPTCP-Dienste:
# Laufende Kernel-Version anzeigen uname -r # Dienste mit MPTCP-Sockets anzeigen ss -M -l # MPTCP vorübergehend systemweit abschalten sysctl -w net.mptcp.enabled=0
CVSS-Wert (kritisch)
0
,8
Jahre unentdeckt im Kernel
0
korrigierte Kernel-Zweige
0
bekannte Angriffe
0
Hinweise zum Vorgehen für IT-Admins
1
Bestand erfassen
Alle Linux-Systeme auflisten, auch Appliances, Firewalls, NAS-Systeme und Virtualisierungshosts auf Linux-Basis.
2
Updates einspielen
Den korrigierten Kernel der jeweiligen Distribution installieren, sobald er bereitsteht. Bei Appliances die Hinweise des Herstellers abwarten.
3
Neustart einplanen
Ein neuer Kernel greift erst nach dem Neustart. Danach mit uname -r prüfen, welche Version tatsächlich läuft.
4
Übergang absichern
Bis zum Update MPTCP abschalten, wo es nicht gebraucht wird, und aus dem Internet erreichbare Dienste zuerst patchen.
Bedeutung für Geschäftsführung und Entscheider
Die Lücke betrifft die Grundlage vieler Server, Cloud-Dienste und Netzwerkgeräte im Unternehmen. Ein Angreifer braucht weder Zugangsdaten noch die Mithilfe eines Mitarbeiters. Ein erreichbarer Dienst genügt.
Das Risiko ist derzeit beherrschbar, weil der Exploit nicht öffentlich ist und Updates verfügbar sind oder kurz bevorstehen. Der Aufwand liegt vor allem in der Planung der Neustarts. Entscheidend ist, dass alle Linux-Systeme erfasst sind, auch die, die nicht als Server wahrgenommen werden.
Der Fall zeigt zudem eine Entwicklung, die für die IT-Sicherheit insgesamt gilt: KI-Werkzeuge finden alte Fehler in bewährter Software deutlich schneller als bisher. Mit mehr kritischen Updates in kürzeren Abständen ist zu rechnen.
FAQ zu CVE-2026-98432
Vom Hauptfehler nicht, denn der IPv6-Code kopiert die Optionen beim Verbindungsaufbau. In der Praxis sind aber fast alle Systeme auch über IPv4 erreichbar und damit betroffen.
Nein, das senkt nur das Risiko des bekannten Angriffswegs. Der Fehler sitzt im allgemeinen TCP-Code, sicher ist erst der korrigierte Kernel.
Bislang sind keine Angriffe bekannt. Der einzige Exploit stammt von Anthropic und ist nicht öffentlich verfügbar.
Ja, ein neuer Kernel wird erst nach dem Neustart aktiv. Ohne Neustart läuft weiter der verwundbare Kernel.
Fazit
Die Linux-Kernel-Lücke CVE-2026-98432 ist mit CVSS 9,8 als kritisch eingestuft, weil sie fast jedes Linux-System betrifft und ohne Anmeldung über das Netz erreichbar ist.
Noch fehlen öffentliche Exploits und bekannte Angriffe, dieser Vorsprung ist aber begrenzt. Wer jetzt alle Linux-Systeme erfasst, die korrigierten Kernel einspielt und die Neustarts einplant, schließt die Lücke, bevor sie breit ausgenutzt werden kann.
Fanden Sie den Blogbeitrag hilfreich und interessant?
Vielen Dank für Ihre Rückmeldung!