Sebuah celah di kode TCP IPv4 kernel Linux, CVE-2026-98432, kini menjadi perhatian pengelola server karena Ubuntu dan Red Hat belum merilis kernel perbaikannya. Tim CVE kernel Linux memberi skor CVSS 9,8, sedangkan sejumlah distribusi menilainya lebih rendah. The Hacker News dan Cyber Kendra melaporkan perkembangannya pada 29 Oktober 2026.
Apa yang rusak dan sejak kapan
Celah ini berupa race condition yang berujung use-after-free pada tahap pembentukan koneksi TCP lewat IPv4. Menurut ringkasan The Hacker News, kernel meneruskan opsi IP milik permintaan koneksi yang masih menunggu ke soket baru tanpa menyalinnya. Bila soket itu dihancurkan saat prosesor lain masih memakai opsi tersebut, kernel membaca memori yang sudah dibebaskan. IPv6 tidak terdampak.
Bug ini sudah ada sejak Linux 4.4. Tim CVE kernel menyebut dampak yang mungkin terjadi adalah kebocoran memori, kerusakan memori, atau crash. Perbaikan di hulu dikomit pada 5 Oktober dan dikreditkan kepada Xinyang Ge, peneliti Anthropic.
Anthropic menyatakan model riset internalnya berhasil menulis exploit yang memberi akses root jarak jauh tanpa interaksi pengguna pada server dengan listener multipath TCP (MPTCP). Klaim itu hanya berasal dari tulisan Anthropic. Catatan CVE dan komit perbaikan tidak menyebut MPTCP, dan Anthropic belum merilis kode exploit maupun konfigurasi pengujiannya.
Skor berbeda, status tambalan berbeda
Penilaian tingkat keparahan tidak seragam. Tim CVE kernel dan Ubuntu memakai 9,8. SUSE dan Oracle memberi 8,1, Amazon 7,0, dan Red Hat menampilkan 5,9 (Moderate) di halaman publiknya, meski berkas VEX miliknya yang diperbarui 29 Oktober menyebut 8,1 (Important). NVD belum menambahkan skornya sendiri per 28 Oktober.
Status perbaikan per 29 Oktober berbeda tiap distribusi. Debian 13 diperbaiki pada 16 Oktober dan Debian 12 juga sudah ditambal. Oracle Linux (UEK) sudah dirilis, begitu pula sebagian kernel SUSE dan Amazon Linux. Ubuntu 22.04, 24.04, 26.04, dan 26.10 masih rentan dengan perbaikan dalam proses tanpa tanggal rilis. Ubuntu 16.04, 18.04, dan 20.04 juga rentan. RHEL 8, 9, 10 dan OpenShift 4 menunda perbaikannya, sedangkan RHEL 7 tidak terdampak.
Yang perlu dilakukan administrator
Kernel stabil upstream yang memuat perbaikan adalah 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, dan 7.2.10, serta mainline 7.3. Tim CVE kernel menyarankan pindah ke rilis stabil terbaru, bukan memilih tambalan satu per satu. Di distribusi yang paket perbaikannya sudah ada, pasang lalu reboot, karena pembaruan baru aktif setelah kernel baru berjalan. Versi yang sedang dipakai bisa dicek dengan uname -r.
Belum ada serangan yang dilaporkan dalam advisori vendor, dan celah ini belum masuk katalog KEV milik CISA. Red Hat menyatakan belum ada mitigasi yang memenuhi standarnya, dan belum ada advisori lain yang mencantumkannya. Belum jelas apakah mematikan MPTCP akan menurunkan risiko. Pengguna Ubuntu dan RHEL praktisnya hanya bisa memantau halaman keamanan vendor masing-masing sampai kernel perbaikan keluar.
Sumber: The Hacker News dan Cyber Kendra. Gambar: The Hacker News