В ядрото на Linux е открита изключително опасна уязвимост, която съществува от десетилетие и излага на риск VPN услугите по целия свят. Според специалистите по сигурност, уязвимостта позволява дистанционно изпълнение на код.
В TCP стека на ядрото на Linux е открита критична уязвимост, която може да бъде експлоатирана дистанционно. Тя позволява изпълнение на код върху сървър с root привилегии – най-високото ниво на достъп.
Застрашени са широк кръг сървърни системи – от уеб сървъри до VPN шлюзове. Въпреки че някои доставчици на Linux вече са пуснали корекции (пачове), за Ubuntu и RHEL такива все още липсват.
Проблем в TCP стека на Linux
Уязвимостта, регистрирана под идентификатор CVE-2026-98432, засяга TCP стека на Linux, съобщи The Hacker News. Тя може да бъде експлоатирана дистанционно чрез изпращане на специално подготвени мрежови пакети към целевата машина.
Разработчиците на Linux са оценили сериозността ѝ на 9,8 от 10 по скалата CVSS, класифицирайки я като „критична”. Някои доставчици на Linux обаче са предоставили свои собствени оценки на риска.
Засегнат е широк спектър от сървърни системи, базирани на Linux, включително уеб сървъри, пощенски сървъри, Kubernetes възли, хостове за контейнери, облачни виртуални машини, обработващи TCP трафик, прокси сървъри и VPN шлюзове.
Например, решенията, базирани на OpenVPN, може да са уязвими, макар че към момента за тях все още не е демонстриран конкретен експлойт.
CVE-2026-98432 е открита от компанията Anthropic – създателя на семейството големи езикови модели Claude. Според компанията, на 27 октомври 2026 г. един от нейните модели с изкуствен интелект е открил уязвимостта и е разработил експлойт.
Този експлойт позволява на неоторизиран нападател дистанционно да изпълнява команди с root привилегии върху сървъри, работещи под управлението на Linux-базирани операционни системи.
За да бъде успешна атаката, на целевия сървър трябва да има процеси, способни да приемат връзки чрез протокола Multipath TCP (MTCP). Програмите, написани на езика Go (версия 1.24 или по-нова), които „слушат” на даден сокет, по подразбиране изискват използването на MTCP.
Към момента актуализации за сигурност, адресиращи тези уязвимости, все още не са налични за популярни дистрибуции като Ubuntu и Red Hat Enterprise Linux (RHEL). Същевременно Amazon, Oracle, Debian и SUSE вече са подготвили необходимите корекции (пачове).
Как възниква уязвимостта
Уязвимостта, обозначена като CVE-2026-98432, произтича от грешка в реализацията на TCP стека в ядрото на Linux. Тя предизвиква състояние на „надпревара” (race condition) по време на TCP ръкостискането (handshake), когато клиент установява IPv4 връзка със сървър.
В хода на този процес ядрото създава временен сокет, което включва заделяне на временна структура, съдържаща допълнителни полета в заглавната част на мрежовия пакет. След установяване на връзката се създава нов, пълноценен сокет; неговите параметри се предават чрез референция (препратка), а не чрез копиране.
Ако сокетът бъде унищожен – тъй като вече не е необходим – областта от паметта, съдържаща неговите параметри, се изчиства. Ако точно в този момент друго процесорно ядро или отделен процесор се опита да достъпи същите параметри, за да отговори на последваща заявка за връзка, той се оказва в ситуация на достъп до вече освободена памет.
Това води до уязвимост от типа „Use-After-Free” (използване след освобождаване). Според енциклопедията на Kaspersky, уязвимостта от типа Use-After-Free (UAF) е свързана с неправилно управление на динамичната памет по време на изпълнение на програма: когато даден участък от паметта бъде освободен, указателят към него не се изчиства (не се задава като null), което позволява на нападателите да се възползват от това за свои цели.
CVE-2026-98432 присъства в ядрото на Linux още от версия 4.4, която е пусната през януари 2016 г. Важно е да се отбележи, че протоколът IPv6 не е податлив на тази уязвимост, тъй като параметрите за установена връзка се копират, а не се предават чрез референция.
Различия в оценките
Докато разработчиците на ядрото на Linux смятат CVE-2026-98432 за изключително опасна – като ѝ дават оценка 9.8 – други големи участници на пазара за системен софтуер я оценяват като по-малко сериозна.
Например, Red Hat ѝ присвоява оценка 5,9, Amazon – 7, а Oracle – 8,1. Разработчиците на Ubuntu обаче не подценяват заплахата и я оценяват на 9,8.
Тази значителна разлика в оценките произтича от различните гледни точки относно сложността на извършване на реална атака. Екипът на Ubuntu и разработчиците на ядрото смятат, че трудността е ниска, докато според гореспоменатите организации тя е висока.
От Red Hat, например, обясняват, че оценката им за уязвимостта като „умерено опасна” се основава на факта, че предизвикването на т.нар. „състезателно състояние” (race condition) в описания сценарий е трудно. Освен това, дори ако един нападател успее, най-вероятният резултат би бил срив на ядрото, водещ до отказ на услугата (Denial of Service – DoS).
Според специалистите от Red Hat, досега не е демонстриран сценарий, при който нападател би могъл да получи достъп до защитени данни или да промени данни в паметта на ядрото на Linux.
Нарастващ брой уязвимости в Linux
С интегриране на изкуствения интелект в процеса на разработка на ядрото на Linux, броят на откриваните в него уязвимости също нараства.
Инструментите за анализ на код, базирани на изкуствен интелект, са изключително ефективни. Например, докато в Linux 7.2 са открити 1500 пробива в сигурността, в Linux 7.0 те са били около 1000 (към 12 април 2026 г.).
С други думи, броят на известните уязвимости в кода на ядрото на Linux се е увеличил с 50% само за четири месеца.
