9,8: a falha crítica no kernel do Linux que o Ubuntu ainda não corrigiu

Uma falha de segurança no kernel do Linux, catalogada como CVE-2026-98432, recebeu nota 9,8 de 10 no registro oficial da CVE. O problema está no TCP sobre IPv4 e pode ser explorado remotamente, sem login e sem clique do usuário, segundo o registro da CNA do kernel. A correção tem duas linhas e foi publicada em 1º de outubro de 2026, mas o Ubuntu, da versão 16.04 à 26.10, segue listado como vulnerável, sem aviso de segurança (USN) publicado.

0:14

Como a falha funciona0:28

Segundo o registro oficial da CVE, a falha está na montagem do SYN-ACK, a resposta do servidor a um pedido de conexão. É uma condição de corrida: dois núcleos do processador acessam o mesmo dado, e o kernel pode usar memória já liberada, um use-after-free. O atacante envia, no SYN, opções de IPv4 como Record Route ou Timestamp, que o kernel guarda e passa ao novo socket sem copiar. Um SYN retransmitido pode correr contra a liberação dessa memória, levando o kernel a copiar pedaços da própria memória para o SYN-ACK devolvido ao atacante.

0:44

Um bug de 11 anos1:14

O bug nasceu em 2 de outubro de 2015, num commit de Eric Dumazet, então com e-mail do Google, que chegou ao kernel 4.4. O objetivo era reduzir a pressão sobre a trava do listener, o socket que espera conexões; sem essa trava, nada impede que a memória seja liberada no meio da montagem do SYN-ACK. Em 2021, um commit de Kuniyuki Iwashima passou a migrar conexões meio abertas entre listeners, clonando cada uma, o que abriu um segundo caminho para o mesmo erro.

As duas IAs do caso1:58

O commit da correção credita Xinyang Ge, com e-mail da Anthropic, como quem relatou a falha. A primeira versão do patch saiu incompleta, e quem apontou isso foi a Sashiko, revisão automática com IA da lista de rede do kernel.

Eric Dumazet respondeu "Good catch" e enviou a segunda versão da correção no mesmo dia, mas disse duvidar da classificação "High" dada pela Sashiko, porque a corrida envolveria três CPUs.

2:12

Em 27 de outubro, a Anthropic afirmou que um modelo interno do Claude, não lançado, escreveu um exploit de root remoto para essa falha, sem senha e sem interação, em menos de uma hora, segundo a empresa.

É alegação da Anthropic, e o exploit não foi tornado público. A avaliação da Red Hat vai contra essa leitura: o pior caso prático seria negação de serviço, isto é, derrubar a máquina. O post da Anthropic cita servidores com multipath TCP, mas, como notou o Cyber Security News, a descrição da falha não menciona multipath TCP.

4:40

As notas que não batem3:05

A gravidade do caso varia conforme quem avalia: o CNA do kernel deu nota 9,8; o Ubuntu marca prioridade alta, com 8,3 no CVSS 4; a SUSE, 8,1; a Amazon, 7; e a Red Hat, 5,9, classificada como moderada, com correção adiada. O NVD, do governo americano, não fez avaliação própria.

Até agora, não há exploit público conhecido nem ataque registrado, e a falha não consta no catálogo de falhas exploradas da CISA. Um post da conta @shimarin, do X, previu que um exploit pode aparecer, mas trata-se de previsão, não de dado confirmado.

O que está corrigido4:00

Já foram corrigidos o Linux 7.3 e sete ramos estáveis, do 5.10 ao 7.2. O Debian publicou avisos de segurança com a correção, e a Amazon Linux 2023 tem kernels corrigidos, um deles no mesmo dia da gravação; o kernel padrão da Amazon segue pendente.

No Ubuntu, a página de status atualizada no dia anterior ao vídeo mostra o kernel vulnerável do 16.04 ao 26.10, com correção em andamento a partir do 22.04. O 14.04 não é afetado. Não há aviso de segurança (USN) publicado nem mitigação indicada na página; a orientação é acompanhar o USN dessa falha.