Peneliti Anthropic melaporkan CVE-2026-98432, celah use-after-free di kode TCP IPv4 kernel Linux dengan skor CVSS 9,8. Celah ini bisa dipicu lewat jaringan tanpa hak akses dan tanpa interaksi pengguna, dan sudah ada sejak Linux 4.4. Perbaikan upstream sudah terbit, tetapi per 30 Oktober 2026 kernel perbaikan untuk RHEL belum tersedia.
Apa yang salah di kernel
Menurut AlmaLinux, opsi IPv4 pada paket SYN yang disalin kernel dibebaskan terlalu cepat. Akibatnya, kode pembuat SYN-ACK membaca memori yang sudah dibebaskan. Masalah utamanya tidak memengaruhi koneksi IPv6. Eric Dumazet menulis perbaikan upstream. TuxCare mencatat perbaikan itu masuk pada 5 Oktober 2026, tim CVE kernel menerbitkan nomor CVE pada 15 Oktober, dan skor 9,8 baru ditambahkan pada 24 Oktober. Jadi ini bukan zero-day: tambalan sudah ada sebelum CVE diumumkan.
Pelapornya adalah peneliti Anthropic, Xinyang Ge. Pada 27 Oktober, Anthropic menyatakan model Claude internal yang belum dirilis berhasil membuat exploit yang memberi akses root jarak jauh di server dengan listener MPTCP. Klaim ini belum terverifikasi. TuxCare mencatat belum ada reproduksi independen per 30 Oktober, dan kode exploit serta konfigurasi ujinya tidak dipublikasikan. Menurut TuxCare, tim Go Security menyebut sistem tanpa listener MPTCP mungkin tetap rentan terhadap serangan serupa. TuxCare tidak melaporkan eksploitasi di dunia nyata, dan celah ini belum masuk katalog KEV milik CISA.
Status patch per distro
AlmaLinux menaruh kernel perbaikan di repositori testing dan belum merilisnya ke produksi: kernel-4.18.0-553.180.2.el8_10 untuk AlmaLinux 8, kernel-5.14.0-687.61.2.el9_8 untuk AlmaLinux 9, dan kernel-6.12.0-211.69.2.el10_2 untuk AlmaLinux 10. AlmaLinux menulis bahwa saat artikelnya terbit belum ada kernel RHEL yang diperbaiki. Menurut TuxCare, Red Hat sempat menilai tingkat keparahannya Moderate (5,9), lalu menaikkannya ke Important (8,1) pada 29 Oktober. RHEL 8, 9, dan 10 terdampak, sedangkan RHEL 7 dan CentOS 7 tidak.
Daftar TuxCare juga menyebut Debian 13 dan Debian 12 sudah punya perbaikan (DSA-6568-1, DLA-4841-1, dan DLA-4850-1). Perbaikan untuk Ubuntu 22.04, 24.04, 26.04, dan 26.10 masih dikerjakan, sementara Ubuntu 16.04, 18.04, dan 20.04 rentan tanpa perbaikan. TuxCare menjual KernelCare, jadi cek status akhir ke pengumuman resmi distro yang Anda pakai.
Yang bisa dilakukan administrator
Solusi utamanya adalah memasang kernel yang sudah diperbaiki lalu me-reboot server. Sambil menunggu, AlmaLinux menyarankan memeriksa nilai net.mptcp.enabled dan mematikan MPTCP bila tidak dipakai, lalu memeriksa listener MPTCP yang masih terbuka. Aturan nftables untuk membuang paket TCP IPv4 yang membawa opsi IP juga bisa dipasang sementara. Aturan itu hilang setelah reboot, dan TuxCare meminta pengujian di lingkungan staging lebih dulu. AlmaLinux tidak mengaktifkan MPTCP secara default, tetapi sistem tanpa MPTCP tetap perlu diperbarui.
Bagi pengelola server RHEL, AlmaLinux, atau Rocky, langkah praktis hari ini adalah memeriksa status MPTCP dan memantau repositori vendor sampai kernel perbaikan keluar.