CVE-2026-98432 là lỗi use-after-free trong quá trình bắt tay TCP/IPv4 của Linux kernel, điểm CVSS 9.8. Anthropic cho biết một model nghiên cứu nội bộ của họ đã viết được exploit chạy lệnh với quyền root, không cần đăng nhập, trên server có listener Multipath TCP (MPTCP). Exploit chưa công bố, chưa ghi nhận khai thác thực tế, và tính đến 03/11 lỗi chưa vào danh mục CISA KEV. Nhưng bản vá upstream đã có từ 05/10, nên ai chưa vá thì nên vá ngay khi distro của mình phát hành — đừng chờ báo cáo khai thác.

Lỗi ảnh hưởng mọi kernel từ 4.4 trở lên chưa nhận bản vá. Lưu ý: Go 1.24 trở lên mặc định bật MPTCP trên socket lắng nghe, nên nhiều server có listener MPTCP mà chủ máy không hề hay biết.

Ai đã vá, ai chưa (tính đến 03/11)

  • RHEL 8/9/10: đã vá ngày 01/11 — RHEL 8.10: kernel-4.18.0-553.182.1.el8_10 (RHSA-2026:93414), RHEL 9.8: kernel-5.14.0-687.64.1.el9_8 (RHSA-2026:93412), RHEL 10.2: kernel-6.12.0-211.72.1.el10_2 (RHSA-2026:93413). Các bản E4S/TUS ra thêm ngày 02–03/11. Cài bằng sudo dnf update kernel rồi reboot — kernel mới chỉ có tác dụng khi đã chạy nó.
  • AlmaLinux/Rocky: bản build thử nghiệm từ 30/10, và theo tổng hợp ngày 03/11 thì bản vá đã vào kênh cập nhật thường cho AlmaLinux/Rocky 9/10. Kiểm tra changelog của distro mình trước khi kết luận.
  • Debian, Oracle, SUSE, Amazon Linux: đã có bản vá trước RHEL (Debian 13: 6.12.113-1, Debian 12: 6.1.190-1).
  • Ubuntu 22.04/24.04/26.04 LTS: chưa vá ở kênh thường. Bản vá mới chỉ nằm trong kho testing -proposed từ 02/11 (5.15.0-203.213, 6.8.0-149.149, 7.0.0-43.43), chưa có ngày phát hành chính thức. Ubuntu 26.10 đã có bản vá ở kênh thường (7.3.0-10.10). Ubuntu 16.04/18.04/20.04 vẫn chưa có gì.
  • RHEL 7/CentOS 7 (kernel 3.10): không ảnh hưởng.

Kiểm tra máy của bạn

  • Có listener MPTCP không: ss -Mlnp — tắt MPTCP chỉ thu hẹp diện phơi nhiễm, không thay thế bản vá.
  • Đừng chỉ nhìn số version kernel: các distro backport bản vá vào kernel riêng, nên phải đọc changelog. Trên Ubuntu: zgrep -cE 'CVE-2026-98432|free inet_opt and ireq_opt' /usr/share/doc/linux-modules-$(uname -r)/changelog.Debian.gz (lưu ý: bản -proposed của 26.04 ghi bản vá theo tên patch, không ghi số CVE).
  • Khi kernel vá đã về kênh thường: cập nhật và reboot ngay.

Nguồn tham khảo: