Kembali

2026/11/04

CVE-2026-98432: Use-After-Free TCP Linux, Remote Root Berbantuan AI melalui MPTCP, dan Pertahanan Linux Enterprise

Race condition pada TCP IPv4 Linux, demo remote root via MPTCP, serta perbaikan dan mitigasi vendor untuk RHEL, Ubuntu, Oracle Linux, dan Debian.

Informasi diverifikasi: 3 November 2026 | Analisis Teknis LOGIQ

Pada Oktober 2026, kerentanan use-after-free (UAF), CVE-2026-98432, diungkapkan dalam penanganan koneksi TCP IPv4 pada kernel Linux. Tim CVE kernel Linux menerbitkan pemberitahuannya pada 15 Oktober. Pada 27 Oktober, Anthropic melaporkan bahwa sebuah model riset internal yang belum dirilis berhasil mendemonstrasikan eksekusi perintah jarak jauh tanpa autentikasi dengan hak akses root terhadap server Linux yang memiliki listener MPTCP (Multipath TCP). Yang penting, kondisi eksploit spesifik tersebut tidak boleh dicampuradukkan dengan risiko kerentanan dan denial-of-service yang lebih luas yang memengaruhi layanan TCP IPv4 biasa.

Poin-poin penting

  • Celah ini adalah race condition dalam penanganan permintaan koneksi TCP IPv4 biasa, yang sudah ada sejak Linux 4.4. MPTCP tidak diperlukan agar bug ini muncul.
  • Demonstrasi remote root oleh Anthropic menargetkan server dengan listener MPTCP; layanan TCP lain tetap menghadapi risiko crash, denial of service, dan korupsi memori.
  • Red Hat menilai masalah ini Critical (CVSS v3.1 9.8) dan merilis kernel perbaikan untuk RHEL 8, 9, dan 10 pada 1 November. Perbaikan Ubuntu masih dalam proses per 3 November.
  • Pasang kernel perbaikan yang disetujui vendor, lakukan reboot, dan pastikan kernel yang sedang berjalan. Mitigasi mengurangi paparan tetapi tidak menggantikan patch.

Di mana race condition terjadi

Masalah ini melibatkan three-way handshake TCP IPv4. Opsi IP yang dipegang oleh request socket (ireq->ireq_opt) dapat dipindahkan ke inet_opt milik child socket selama tcp_v4_syn_recv_sock() tanpa disalin. Jika CPU lain sedang memproses SYN yang dikirim ulang dan menyusun SYN/ACK saat child socket dihancurkan, memori opsi tersebut dapat dibebaskan selagi masih digunakan. Akses berikutnya oleh fungsi seperti ip_options_build() dapat memicu UAF.

Race condition terkait juga ada pada migrasi request socket melalui net.ipv4.tcp_migrate_req=1 atau BPF_SK_REUSEPORT_SELECT_OR_MIGRATE, di mana data opsi dapat dibagi antara request socket asli dan hasil kloningnya. Perilaku rentan ini sudah ada sejak Linux 4.4, tetapi paparan sebenarnya harus dinilai per kernel vendor, termasuk backport.

Commit perbaikan upstream e3f33b0a1d89 (“ipv4: free inet_opt and ireq_opt after an RCU grace period”) mengubah dealokasi langsung di inet_sock_destruct() dan tcp_v4_reqsk_destructor() menjadi dealokasi tertunda RCU melalui kfree_rcu(). Pemberitahuan CVE Linux menyebutkan perbaikan pada versi kernel 6.12.113, 6.18.56, 7.2.10, dan 7.3-rc7. Jalur IPv6 awal bukan kerentanan yang sama, meskipun jalur migrasi IPv6 yang melibatkan CALIPSO ditangani oleh patch terpisah.

Jangan samakan demonstrasi akses remote root dengan paparan umum

Proof of concept dari Anthropic menargetkan server dengan listener MPTCP dan menggabungkan kebocoran informasi alamat kernel dengan pembajakan alur kontrol (control-flow hijacking). Eksperimen yang dilaporkan membutuhkan sekitar 48 menit untuk memperoleh kebocoran informasi dan lima menit berikutnya untuk mencapai eksekusi perintah. Karena race yang gagal hanya menggagalkan handshake alih-alih membuat sistem crash, penyerang dapat terus mencoba ulang. Namun, UAF yang mendasarinya berada dalam penanganan permintaan koneksi TCP IPv4 biasa, bukan semata-mata dalam kode MPTCP.

Teknik eksploit remote root yang sama belum didemonstrasikan untuk setiap layanan TCP konvensional tanpa MPTCP. Meski demikian, juga keliru untuk menganggap bahwa menonaktifkan MPTCP membuat sistem sepenuhnya aman. Red Hat menyatakan bahwa MPTCP bukan syarat yang diperlukan, bahwa sistem dengan MPTCP dinonaktifkan (bawaan) tetap terdampak, dan memperingatkan adanya crash jarak jauh tanpa autentikasi, denial of service, dan korupsi memori pada layanan TCP IPv4 standar.

Penilaian utama vendor: tingkat keparahan dan status perbaikan

Status per pemeriksaan pada 3 November 2026. Halaman vendor dapat berubah; selalu periksa entri terkini sebelum bertindak.

VendorTingkat keparahanStatus perbaikan
Red HatCritical, CVSS v3.1 9.8Kernel perbaikan dirilis 1 November: RHEL 8 (RHSA-2026:93414; kernel-rt untuk NFV RHSA-2026:93415), RHEL 9 (RHSA-2026:93412), RHEL 10 (RHSA-2026:93413). kernel-rt RHEL 9 dan OpenShift (RHCOS) masih tercantum sebagai Affected. RHEL 6 dan 7 tidak terdampak.
UbuntuPrioritas High; CVSS 9.8linux untuk 26.10, 26.04, 24.04, dan 22.04: Vulnerable, work in progress. 20.04, 18.04, dan 16.04: Vulnerable. Belum ada paket perbaikan yang dirilis.
Oracle LinuxImportant; CVSS sementara 8.1Errata UEK bertanggal 16 Oktober (ELSA-2026-500397, -500398, -500399) untuk OL7 hingga OL10. Errata RHCK bertanggal 2 November untuk OL8 (ELSA-2026-93414) dan OL10 (ELSA-2026-93413); belum ada erratum RHCK yang tercantum untuk OL9.
Debian(Security Tracker)Diperbaiki di bookworm 6.1.190-1 (DLA-4841-1), bookworm linux-6.12 6.12.113-1~deb12u1 (DLA-4850-1), dan trixie 6.12.113-1 (DSA-6568-1); forky dan sid sudah diperbaiki.

Red Hat (penilaian direvisi 30 Oktober; buletin terakhir diperbarui 2 November). Halaman CVE resmi menilai masalah ini Critical, CVSS v3.1 9.8, karena penyerang jarak jauh tanpa autentikasi dapat merusak memori kernel atau membuat sistem crash melalui lalu lintas TCP IPv4 biasa. RHEL 8, 9, 10 dan OpenShift tercantum sebagai terdampak; kernel RHEL 7 tercantum tidak terdampak karena kode yang relevan tidak ada. Sejak 1 November, data CVE Red Hat mencantumkan kernel perbaikan: kernel-4.18.0-553.182.1.el8_10 (RHEL 8), kernel-5.14.0-687.64.1.el9_8 (RHEL 9), dan kernel-6.12.0-211.72.1.el10_2 (RHEL 10). Buletin keamanan RHSB-2026-016 masih bertanda sedang berlangsung dan merupakan tempat untuk prosedur mitigasi. Jangan menyajikan skor lama dari sumber sekunder seperti 5.9 atau 8.1 sebagai penilaian Red Hat saat ini.

Ubuntu (tabel resmi terakhir diperbarui 30 Oktober). CVSS CVE adalah 9.8, sedangkan prioritas Ubuntu sendiri adalah High. Paket linux standar untuk Ubuntu 26.10, 26.04, 24.04, dan 22.04 ditandai “Vulnerable, work in progress”, dengan versi perbaikan yang direncanakan ditampilkan di halaman tersebut; 20.04 ditandai Vulnerable, di antara status lainnya. Varian kernel AWS, Azure, HWE, RT, dan lainnya harus dievaluasi masing-masing. “Work in progress” tidak berarti perbaikan sudah dirilis.

Oracle Linux. Penilaian Oracle sendiri adalah Important, dengan skor CVSS sementara 8.1. Errata UEK untuk OL7, OL8, OL9, dan OL10 bertanggal 16 Oktober, dan errata RHCK untuk OL8 dan OL10 menyusul pada 2 November. Perbaikan di UEK tidak boleh digeneralisasi ke RHCK atau ke setiap rilis minor; nilailah kernel yang terpasang dan errata yang tepat.

Debian. Security Tracker resmi menandai bookworm-security 6.1.190-1 dan trixie-security 6.12.113-1, antara lain, sebagai sudah diperbaiki. Verifikasi versi paket yang terpasang sekaligus kernel yang berjalan setelah reboot.

Hasil CVSS dapat berbeda antara CNA dan vendor karena konfigurasi dan perbaikan khusus distribusi, dan penilaian dapat berubah. Selalu catat tanggal verifikasi dan tautkan ke setiap sumber resmi.

Tindakan pertahanan: mitigasi bukan pengganti patch

Prioritas pertama adalah memasang kernel perbaikan yang disetujui vendor dan memverifikasi versi yang berjalan setelah reboot. Jika perbaikan belum tersedia, pertimbangkan untuk menutup layanan TCP publik yang tidak diperlukan, membatasi jaringan sumber yang diizinkan, dan memprioritaskan pemantauan pada host yang terekspos.

Buletin Red Hat menjelaskan mitigasi nftables yang membuang paket TCP IPv4 masuk yang membawa opsi IP di header IPv4:

table inet cve_2026_98432 {
  chain input {
    type filter hook input priority -310; policy accept;
    ip protocol tcp ip hdrlength > 5 counter drop
  }
}

Ini bukan perlindungan menyeluruh, dapat mengganggu beban kerja yang bergantung pada opsi IP, dan harus diuji dampaknya terhadap lalu lintas bisnis sebelum diterapkan. Opsi TCP biasa di header TCP tetap diizinkan; ini bukan tentang memblokir field TCP Options. Di OpenShift, aturan tingkat node tidak memfilter lalu lintas antar-pod di dalam jaringan cluster, sehingga pemfilteran di batas jaringan menjadi penting di sana. Hapus tabel tersebut setelah kernel perbaikan berjalan.

Tips: Setelah menerapkan patch, bandingkan uname -r dengan versi perbaikan di erratum vendor Anda, dan simpan output tersebut bersama catatan perubahan. Paket yang sudah terpasang tetapi belum di-boot tidak menutup kerentanan.

Di Linux, paket net Go pada Go 1.24 dan yang lebih baru mengaktifkan MPTCP untuk listener secara bawaan. Tim Go mendokumentasikan GODEBUG=multipathtcp=0 sebagai cara untuk menonaktifkannya (juga tersedia sebagai baris godebug di go.mod). Usulan untuk mengubah nilai bawaan ini masih dibahas, dan para pengelola Go menunjuk kernel yang sudah di-patch sebagai perbaikan yang sesungguhnya. Pengaturan ini dapat mengurangi paparan terhadap jalur serangan yang bergantung pada MPTCP seperti yang didemonstrasikan Anthropic, tetapi tidak memperbaiki UAF kernel itu sendiri. Tinjau penggunaan MPTCP per layanan.

Perspektif LOGIQ

Pemeliharaan Linux enterprise tidak dapat menentukan keamanan hanya dari angka CVSS publik atau uname -r. Nilailah rilis OS, keluarga kernel (misalnya UEK atau RHCK), rilis paket, kernel yang sedang di-boot, paparan jaringan, pengaturan MPTCP, errata vendor, dan bukti reboot secara bersamaan. Lacak seluruh rantai, mulai dari penilaian dampak dan validasi hingga penerapan dan pemantauan operasional.

Jika perbaikan vendor masih tertunda, dokumentasikan risiko residual dari mitigasi sementara dan evaluasi ulang mitigasi tersebut setelah patch tersedia. Seiring AI meningkatkan kemudahan praktis untuk mengeksploitasi kerentanan, pemeliharaan enterprise harus mencakup seluruh siklus hidup: deteksi, verifikasi, remediasi, dan bukti operasi yang sehat.

Sumber utama dan referensi