Am 15. Oktober 2026 wurde CVE-2026-98432 veröffentlicht: eine Schwachstelle im IPv4-TCP-Stack des Linux-Kernels mit einem CVSS-Score von 9.8 (kritisch). Sie ist über das Netzwerk ausnutzbar, braucht keine Anmeldung und keine Interaktion eines Nutzers. Dieser Beitrag fasst zusammen, was bekannt ist, welche Systeme betroffen sind und was Sie bis zum Update tun können.

Was ist das Problem?

Laut Beschreibung im Kernel-Changelog geht es um die Funktion tcp_v4_syn_recv_sock(). Sie übergibt den Zeiger auf die IP-Optionen (ireq_opt) an den neuen Socket, ohne die Daten zu kopieren. Wird gleichzeitig auf einer anderen CPU eine erneut gesendete SYN-Anfrage verarbeitet, kann ein SYN/ACK gebaut werden, während die Optionen bereits freigegeben wurden. Es entsteht eine Race Condition mit Speicherzugriff auf freigegebenen Speicher (Use-after-free). Die Folge kann im schlimmsten Fall Remote Code Execution sein. Der Fix gibt die Optionen erst nach einer RCU-Grace-Period frei.

Welche Systeme sind betroffen?

  • Ubuntu: 26.10, 26.04 LTS, 24.04 LTS, 22.04 LTS sowie 20.04, 18.04 und 16.04 (nicht 14.04). Ubuntu führt 24.04 und 22.04 aktuell als Vulnerable; die korrigierten Kernel (6.8.0-149 und 5.15.0-203) sind in Arbeit.
  • Debian: 12 (Bookworm), 13 (Trixie) und Sid. Fixes laut Berichten: 6.1.190-1, 6.12.113-1 und 7.2.10-1 oder neuer.
  • Red Hat: RHEL 8, 9 und 10 sowie OpenShift 4 und 5 (RHEL 7 nicht). Hinweis: RHSB-2026-016.
  • SUSE: ausgewählte Produkte, Details in den SUSE-Advisories.
  • Upstream: korrigiert in 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 und 7.2.10.

Besonders relevant ist das für alles, was TCP-Dienste direkt aus dem Internet anbietet: Webserver, Reverse Proxies, Kubernetes-Nodes, Container- und Virtualisierungshosts sowie DNS-, DHCP- und RADIUS-Server.

Wird die Lücke bereits ausgenutzt?

Zum Zeitpunkt der Veröffentlichung gibt es keine Bestätigung für Angriffe in freier Wildbahn, und die CVE steht nicht im CISA-KEV-Katalog. Die NVD-Einstufung hat den Status Awaiting Analysis. Bei einem 9.8er ohne Authentifizierung sollten Sie trotzdem nicht warten.

Was Sie jetzt tun sollten

  1. Bestandsaufnahme: Welche Linux-Systeme sind aus dem Internet erreichbar und welchen Kernel nutzen sie? uname -r zeigt die laufende Version.
  2. Updates einspielen, sobald Ihre Distribution den Kernel bereitstellt, und danach neu starten. Ein Kernel-Update wirkt erst nach dem Reboot.
  3. Priorisieren: Internet-exponierte Systeme zuerst, danach interne Hosts.
  4. Bis dahin: den Übergangsschutz unten prüfen.

Übergangsschutz: IP-Optionen verwerfen

Red Hat empfiehlt, eingehende IPv4-Pakete mit IP-Optionen zu filtern. Ubuntu beschreibt dafür eine nftables-Regel. Sie senkt das Risiko, verhindert eine Ausnutzung aber nicht vollständig, und sie bricht TCP-Verbindungen, die auf IPv4-Optionen angewiesen sind. Normale TCP-Optionen wie Timestamps und Window Scaling sowie IPv6 sind nicht betroffen. Container mit eigenem Netzwerk-Namespace brauchen die Regel separat.

printf '%s\n' 'table inet cve_2026_98432 {
  chain input {
    type filter hook input priority -310; policy accept;
    ip protocol tcp ip hdrlength > 5 counter drop
  }
}' | sudo tee /etc/cve-2026-98432.nft >/dev/null

sudo nft -c -f /etc/cve-2026-98432.nft && sudo nft -f /etc/cve-2026-98432.nft

Die Regel gilt bis zum nächsten Neustart. Wie Sie sie dauerhaft einbinden und wieder entfernen, steht im Ubuntu-Eintrag zur CVE. Testen Sie sie zuerst auf einem unkritischen System.

Fazit

Eine kritische, aus der Ferne ausnutzbare Kernel-Lücke ist ein Fall für schnelles Handeln, auch ohne bestätigte Angriffe. Prüfen Sie Ihre Kernelversionen, behalten Sie die Security-Hinweise Ihrer Distribution im Blick und spielen Sie den Fix samt Reboot ein, sobald er verfügbar ist.

Quellen

  • NVD: CVE-2026-98432
  • Ubuntu Security: CVE-2026-98432
  • Red Hat: RHSB-2026-016