Tim CVE kernel Linux menetapkan skor CVSS 9,8 untuk CVE-2026-98432, celah use-after-free pada kode jabat tangan TCP IPv4. Perbaikan upstream sudah dirilis sejak 5 Oktober 2026, tetapi per 29 Oktober Ubuntu dan Red Hat Enterprise Linux belum menyediakan kernel yang menutup celah ini, menurut laporan The Hacker News.
Apa yang salah di kernel
Penyebabnya adalah race condition. Saat kernel membuat socket baru dari permintaan koneksi, opsi IP diteruskan tanpa disalin, lalu bisa dibebaskan sebelum CPU lain selesai membacanya. SYN yang dikirim ulang dan diproses di CPU lain kemudian dapat membaca memori yang sudah dibebaskan. Bug ini masuk sejak Linux 4.4. IPv6 tidak terdampak oleh masalah utama ini karena kernel menyalin opsi untuk koneksi IPv6.
Anthropic menyatakan dalam tulisannya pada 27 Oktober bahwa Claude menulis exploit yang memberi akses root jarak jauh tanpa login pada server dengan listener multipath TCP (MPTCP). Peneliti Anthropic Xinyang Ge dikreditkan dalam perbaikan kernel. Anthropic tidak merilis kode exploit, versi kernel uji, maupun konfigurasinya. Catatan CVE dan perbaikannya tidak menyebut MPTCP, jadi kaitan itu hanya berasal dari Anthropic. Per 29 Oktober belum ada serangan nyata yang dilaporkan, dan celah ini belum masuk katalog KEV CISA.
Skor pun belum seragam. Tim kernel memberi 9,8, Red Hat dan Oracle serta SUSE memakai 8,1, Amazon 7,0, sedangkan halaman CVE Red Hat sempat menulis 5,9 dengan hasil paling mungkin berupa kernel crash.
Status perbaikan per distribusi
Kernel upstream yang memuat perbaikan adalah 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, dan 7.3. Debian trixie sudah dapat 6.12.113-1 (DSA-6568-1), sedangkan bookworm dapat 6.1.190-1 (DLA-4841-1) dan 6.12.113-1~deb12u1 (DLA-4850-1). Oracle Linux 7 sampai 10 dengan UEK dan Amazon Linux 2023 untuk kernel 6.18 juga sudah diperbaiki. Ubuntu 16.04 sampai 26.10 masih tercatat rentan atau dalam pengerjaan, dan RHEL 8, 9, 10 serta OpenShift 4 berstatus terdampak tanpa perbaikan. RHEL 7 tidak terdampak. SUSE masih menguji kernel untuk sebagian rilis SLES 15 dan 16.
Langkah yang perlu Anda ambil
Tim kernel menyarankan memakai kernel stabil terbaru dan tidak mendukung cherry-pick satu per satu. Pengelola server Debian sebaiknya langsung memasang paket di atas dan me-reboot. Pengguna Ubuntu dan RHEL perlu memantau tracker keamanan masing-masing dan memasang kernel begitu rilis. Red Hat menyatakan belum ada mitigasi yang memenuhi standarnya untuk dipasang luas. Go Security Team menyebut pengguna program Go bisa menonaktifkan MPTCP lewat GODEBUG=multipathtcp=0, tetapi menyebut cara itu rapuh dan bug-nya tidak khusus MPTCP, sehingga server tanpa listener MPTCP belum tentu aman. Inventarisasi server Linux yang terbuka ke internet, utamakan yang memakai MPTCP, dan jadwalkan jendela reboot.
Bagi pembaca yang sudah menambal celah kernel lain pekan ini, lihat juga liputan kami tentang Fragnesia CVE-2026-46300 yang masuk daftar KEV. Itu celah berbeda, jadi pembaruan kernel untuk keduanya perlu dicek terpisah.
Sumber: The Hacker News dan Debian Security Tracker. Gambar: The Hacker News.