Dieser Beitrag wurde mit KI erstellt.
Im Linux-Kernel steckt eine kritische Lücke im TCP-Verbindungsaufbau: CVE-2026-98432, vom Kernel-Projekt mit 9,8 von 10 Punkten bewertet. Betroffen ist praktisch jeder Linux-Server, der über IPv4 erreichbar ist. Debian hat korrigierte Kernel bereits ausgeliefert, Ubuntu und Red Hat noch nicht. Spiel das Kernel-Update ein, sobald es für deine Distribution da ist, und starte den Server neu.
Was passiert ist
Der Fehler sitzt im Code, der eingehende IPv4-Verbindungen annimmt. Schickt ein Gegenüber ein Verbindungspaket (SYN) mit IPv4-Optionen und wiederholt es im passenden Moment, gibt der Kernel Speicher frei, den ein anderer Prozessorkern noch liest. Fachlich heißt das Use-after-free. Eine Anmeldung braucht der Angreifer nicht, jeder offene TCP-Port genügt. Der fehlerhafte Code steckt seit Linux 4.4 im Kernel. Den CVE-Eintrag hat das Kernel-Projekt am 15.10.2026 veröffentlicht, die Korrektur stammt von Eric Dumazet.
Brisant wurde die Lücke am 27.10.2026: Anthropic hat beschrieben, wie ein KI-Forschungsmodell daraus einen funktionierenden Angriff gebaut hat, der auf Servern mit einem Multipath-TCP-Dienst (MPTCP) aus der Ferne Root-Rechte erlangt. Im Test dauerte das gut 50 Minuten. Veröffentlicht ist der Angriffscode nicht, und nach Stand vom 30.10.2026 sind keine Angriffe bekannt; die US-Behörde CISA führt die Lücke nicht als ausgenutzt.
Wer betroffen ist
- Debian: korrigiert. Debian 13 „Trixie“ bekommt Kernel 6.12.113-1 (DSA-6568-1), Debian 12 „Bookworm“ Kernel 6.1.190-1 (DLA-4841-1), jeweils über security.debian.org (Debian Security Tracker).
- Ubuntu: Für 22.04, 24.04 und 26.04 LTS ist die Korrektur in Arbeit, aber noch nicht ausgeliefert. Für 20.04 und ältere Versionen ist keine angekündigt (Ubuntu Security, Stand 30.10.2026).
- Red Hat und Ableger: Red Hat stuft die Lücke nur als mittel ein und hat die Korrektur zurückgestellt. AlmaLinux bietet seit dem 30.10.2026 korrigierte Kernel für die Versionen 8, 9 und 10 im Testing-Repository an (AlmaLinux-Blog).
- Proxmox VE: bringt einen eigenen Kernel mit. Ob die Korrektur enthalten ist, zeigt das Changelog des Proxmox-Kernels. Container (LXC) nutzen den Kernel des Hosts und sind mit ihm geschützt.
- IPv6: Der Hauptweg der Lücke betrifft nur IPv4.
Die Versionsnummer aus uname -r allein sagt wenig, weil die Distributionen Korrekturen in ältere Kernel zurückportieren. Maßgeblich ist der Sicherheitshinweis deiner Distribution. Eine gute Übersicht über alle Distributionen führt PatchMon.
Was du jetzt tun solltest
- Kernel aktualisieren und neu starten: Unter Debian spielst du das Update jetzt ein. Erst der Neustart lädt den neuen Kernel.
- Vorher absichern: Lege vor dem Neustart einen Snapshot oder ein Backup an, damit du bei Problemen zurückkannst.
- MPTCP prüfen:
ss -Mlnpzeigt Dienste, die auf Multipath-TCP lauschen. Brauchst du MPTCP nicht, schalte es mitsysctl net.mptcp.enabled=0ab. - Migration von Verbindungen prüfen:
sysctl net.ipv4.tcp_migrate_reqmuss 0 zeigen, das ist die Voreinstellung. - Internetnahe Server zuerst: Webserver, Mailserver und alles mit öffentlicher IPv4-Adresse kommt vor internen Systemen dran.
- Ubuntu und RHEL im Blick behalten: Prüfe täglich, ob das Kernel-Update da ist, und spiel es dann ohne Verzug ein.
So helfen wir dir
Mit der IT-Betreuung & Monitoring spielen wir Updates auf deinen Servern ein, bei dir vor Ort und in unserem Rechenzentrum, Proxmox-Hosts eingeschlossen, und überwachen sie rund um die Uhr. Betreibst du Virtualisierung, planen wir das Kernel-Update für deine Proxmox-Umgebung so, dass die Gäste im Cluster weiterlaufen; wie das geht, steht im Beitrag zum Proxmox-Cluster für den Mittelstand. Für deinen V-Server oder Root-Server übernimmt der Managed Service Updates und Pflege des Betriebssystems. Verwaltest du deinen V-Server selbst, legst du den Snapshot vor dem Neustart in der Serververwaltung an.
Du willst wissen, ob deine Linux-Server betroffen sind? Schreib uns an support@baebeca.de oder ruf an unter 02261-81616-0 – wir prüfen deine Systeme mit dir.