CVE-2026-98432：严重的Linux内核TCP漏洞允许远程代码执行

Linux内核的IPv4 TCP网络栈中的一个严重漏洞可能允许未经身份验证的远程攻击者触发内存损坏、导致漏洞系统崩溃，并可能以root权限执行任意代码。该漏洞被跟踪为CVE-2026-98432，具有9.8的CVSS 3.1分数，并自Linux内核4.4版本以来一直存在。

漏洞源于一种竞争条件，可导致内核在底层内存已经释放后访问IP选项数据。能够访问暴露的IPv4 TCP服务的攻击者可以通过包含IPv4选项的特别定时连接请求来尝试触发该条件。无需身份验证、本地权限或用户交互。

安全兴趣显著增加，因为Anthropic披露其内部Claude研究模型已开发出一个可行的利用工具，能够对具有多路径TCP（MPTCP）监听器的Linux服务器实现远程root命令执行。该工具首先泄露一个内核指针，以绕过KASLR，然后利用同样的使用后释放条件来破坏内存并重定向内核控制流。Anthropic尚未发布利用代码。

重要的是，这个基础漏洞不仅限于MPTCP。Red Hat确认即使在MPTCP被禁用时，普通IPv4 TCP网络仍然是脆弱的，包括默认的Red Hat Enterprise Linux配置。

联系销售

截至2026年11月4日，没有Linux供应商、CERT或其他已审查来源报告在真实世界攻击中对该漏洞的确认利用。存在演示漏洞某些部分的公开研究代码，但尚未有公开发布的完整远程root能力利用工具，如Anthropic演示的那样。

安全团队可以使用SOC Prime的AI-Native检测情报平台，增强其防御日益新生漏洞利用的能力，使威胁情报操作化，并加速SIEM、EDR、XDR和Data Lake环境中的威胁猎捕。

通过监控包含IP选项的异常IPv4 TCP流量、旨在触发竞争条件的重复连接尝试，检测CVE-2026-98432，以及可能表明成功后开发的可疑活动。

可能并不是每个CVE都有检测内容。检查SOC Prime平台以获取当前覆盖范围。如果相关检测尚不可用，请重新检查，因为新威胁情报和检测内容正在持续添加。

CVE-2026-98432分析

CVE-2026-98432影响包含在Linux 4.4中引入的易受攻击实现的Linux内核中的IPv4 TCP连接处理代码。Linux内核CVE团队将该问题分类为严重，CVSS 3.1分值为9.8，向量为AV/AC/PR/UI/S/C/I/A。

漏洞是由在并发TCP连接处理中引发的使用后释放条件造成。当建立IPv4 TCP连接时，tcp_v4_syn_recv_sock()将与挂起请求关联的IP选项传输到新创建的套接字，而不进行单独复制。

另一个CPU可以同时处理与同一请求套接字相关的重传SYN。在此过程中，负责生成SYN-ACK的函数继续读取IP选项，同时受RCU读取侧临界区保护。

然而，子套接字可能会在该操作仍在进行时被销毁。内核随后使用kfree()释放关联的inet_opt结构，导致另一个CPU可能访问已经释放的内存。结果是ip_options_build()中创建了一个使用后释放条件。

在请求套接字迁移期间存在类似竞争，包括使用net.ipv4.tcp_migrate_req=1或基于BPF的SK_REUSEPORT_SELECT_OR_MIGRATE的配置。上游修复替换了不安全的内存释放，使用RCU感知的释放，确保读者在对象内存可以回收之前完成访问。

首个问题专门影响IPv4。内核咨询称，IPv6不易受该特殊竞争的影响，因为tcp_v6_syn_recv_sock()复制相关选项，而不是以相同的方式传输它们。

远程利用需要专门构造的网络流量和对竞争条件的精确操控。Red Hat指出，可能的结果包括内核崩溃、内存损坏，可能的远程代码执行。缺乏身份验证和用户交互显著增加了将TCP服务暴露于不受信网络的系统的风险。

Anthropic演示表明漏洞可以转化为完整远程root利用。其研究模型瞄准接受多路径TCP连接的Linux服务器，并使用两个阶段来实现命令执行。

在第一阶段，利用工具反复触发竞争并操控一个长度值，使内核在网络响应中返回额外的相邻内存。最终，这些响应之一包含一个内核指针。该泄露揭示了有关内核内存布局的信息，并允许利用工具击败内核地址空间布局随机化（KASLR）。

在第二阶段，利用工具使用相同的漏洞引发缓冲区溢出并覆盖回调指针。指针被重定向到先前以合法协议功能放置在内核内存中的有效载荷。当内核调用修改后的回调时，现有内核功能串联在一起，直到执行攻击者选择的shell命令以root身份。

利用工具的一个重要特性是，输掉竞争不会必然导致服务器崩溃。相反，连接尝试可能仅失败，允许攻击者反复重试。在Anthropic的测试环境中，获取有用内核指针大约需要48分钟，然后再花五分钟实现root命令执行。

这一演示不应被解释为MPTCP是利用的必要条件。Anthropic展示了一条涉及MPTCP监听器的成功利用路径，但易受攻击的代码位于普通IPv4 TCP处理中。Red Hat明确警告，禁用MPTCP不能彻底解决漏洞，默认的RHEL安装仍然受此影响，尽管MPTCP默认禁用。

CVE-2026-98432 PoC情况也与完整武器化利用的存在区分开来。Anthropic开发了一个功能性远程root概念证明，但并未发布。安全研究员报告的公共代码可以演示或检测基础竞争和内存泄露的方面，但审查过的来源没有记录公开发布的代码重现Anthropic的完整远程代码执行链。

该漏洞由Anthropic研究员Xinyang Ge报告。上游Linux修复于2026年10月5日应用，而Linux内核CVE记录于10月15日发布。Anthropic于10月27日公开描述了其完整的利用研究。

Linux内核项目确定了以下上游修复版本：

• Linux 5.10.272
• Linux 5.15.223
• Linux 6.1.190
• Linux 6.6.159
• Linux 6.12.113
• Linux 6.18.56
• Linux 7.2.10
• Linux 7.3

内核团队建议升级到最新的稳定内核，而不是单独挑选提交。

由于Linux供应商维护自己的内核并移植安全修复，特定分布的暴露和补救措施有所不同。Red Hat目前将该问题评定为严重，评分为9.8，并为多个RHEL 8、9和10流发布了修复。OpenShift和依赖受影响RHEL内核的层产品也需要关注。

Ubuntu同样将漏洞评定为严重，评分为9.8。Ubuntu 26.10已获得修复版通用内核，而Ubuntu 22.04 LTS、24.04 LTS和26.04 LTS的修复版已经出现在-proposed测试口袋中，而其他支持的版本仍在等待修复。管理员应该使用Canonical的CVE页面，而不是仅依赖上游内核版本号。

对于CVE-2026-98432检测，安全团队应将网络和主机遥测结合起来。潜在的网络级别搜索信号包括携带IP选项的异常入站IPv4 TCP数据包，尤其是包含记录路径或时间戳选项的重复连接尝试和异常的SYN重传模式。此类流量的存在并不确认利用，但在与易受攻击系统关联时提供了一个有用的搜索支点。

主机级监控应包括Linux内核崩溃、内核警告、内存损坏指示器、意外的服务重启以及紧随可疑网络流量之后的异常活动。因为成功的利用理论上可能提供root代码执行，防御者还应监控意外的特权进程、新创建的文件、配置更改、持久机制和未解释的出站连接。

目前没有攻击者特定的CVE-2026-98432 IOC，比如确认的恶意IP地址、域名或恶意软件哈希，因为审查的来源未报告在真实世界中对漏洞的利用。因此，防御者应优先考虑基于行为的检测和暴露评估，而不是依赖静态指标。

CVE-2026-98432缓解

最终补救措施是安装供应商提供的包含安全修补的内核。Linux内核CVE团队建议迁移到最新支持的稳定内核，而Linux发行版用户应安装供应商专门提供的软件包，因为修复通常是在不更改上游内核版本的情况下移植。

管理员应优先考虑面向互联网的Linux服务器和其他接受入站IPv4 TCP连接的系统。攻击面广泛，因为漏洞存在于内核网络栈中，而不是在单个应用程序或服务器产品中。

组织应采取以下步骤：

1. 清点Linux服务器，并使用 uname -r 等工具识别运行中的内核。
2. 检查相关Linux发行版的安全通告，而不是仅通过上游版本号判定暴露。
3. 尽快安装供应商提供的修复内核。
4. 在安装更新的内核后重新启动受影响的系统，确保运行的是已修补的内核。
5. 优先考虑面向互联网的服务器和接受入站IPv4 TCP流量的基础设施。
6. 审查外部暴露的TCP服务，并限制不必要的网络可访问性。
7. 持续监控供应商通告，因为修复的可用性在各Linux发行版、内核变体、云内核和支持渠道之间有所不同。

Red Hat和Ubuntu还记录了一种临时的数据包过滤方法，该方法丢弃传入的包含IP选项的IPv4 TCP数据包。推荐的nftables条件检查IPv4头部长度大于五，并在到达易受攻击的套接字处理路径之前丢弃匹配的TCP数据包。

此措施可以减少暴露，因为已知的利用路径需要IPv4选项。然而，这两个供应商警告称，数据包过滤不能完全替代安装已修正的内核。它也可能干扰合法依赖IPv4选项的工作负载，因此应在生产部署前进行测试。

仅关闭MPTCP不应被视为足够的保护。尽管Anthropic的工作利用针对的是MPTCP监听器，但基础漏洞在常规IPv4 TCP处理中。Red Hat特别注意到，即使MPTCP已禁用，默认配置下的RHEL仍然易受影响。

对于使用Go应用程序的环境，禁用自动MPTCP行为可以减少暴露于Anthropic演示的具体漏洞利用，但这仍是不完全的风险降低措施。没有MPTCP监听器的系统不应自动被认为是安全的，因为其他利用技术可能目标同一底层竞争。

由于目前尚未确认真实世界的妥协活动，因此事件响应指导目前应侧重于识别可能脆弱的系统和可疑的利用行为，而不是寻找已知的攻击者基础设施集。观察到异常的TCP流量后紧随内核不稳定或意外特权执行的组织应将此活动视为潜在的恶意，并保留网络和主机遥测以供调查。