В ядре Linux нашли уязвимость CVE-2026-98432 с оценкой 9,8 из 10

Уязвимость CVE-2026-98432 в ядре Linux позволяет при определённых условиях выполнять команды на серверах удалённо и без авторизации. О ней операторов узлов Solana предупредил руководитель направления по работе с валидаторами Solana Foundation Тим Гарсия. Оценка по шкале CVSS 3.1 — 9,8 из 10.

«Validators! CVE-2026-98432 is patched in the linux kernel but not yet patched on ubuntu. Here’s what you need to do if you’re running ubuntu», — написал Гарсия 2 ноября.

Ошибка сидит в сетевой подсистеме IPv4, обрабатывающей TCP-соединения. Причина — состояние гонки: две одновременные операции мешают друг другу, и ядро освобождает участок памяти, который ещё используется.

Что именно ломается

По бюллетеню Red Hat, атакующий посылает сетевые запросы с точно рассчитанным таймингом и вызывает повреждение памяти ядра. Обычный исход — аварийное завершение работы сервера, но в потенциале возможно и выполнение произвольного кода.

Уязвимость присутствует в ядре начиная с ветки 4.4, выпущенной в 2016 году. Исправления для поддерживаемых веток разработчики подготовили, однако доступны они пока не во всех дистрибутивах. На 2 ноября Ubuntu помечала как уязвимые версии 22.04, 24.04, 26.04 и 26.10, работа над обновлениями продолжалась.

Владельцам узлов на Ubuntu Гарсия советует до выхода патчей временно ограничить обработку отдельных сетевых пакетов и отключить Multipath TCP и миграцию TCP-соединений.

С кодом Solana уязвимость не связана: она затрагивает операционную систему серверов, где крутятся валидаторы и любые другие сетевые приложения. Компрометация узла нарушает его работу, но automatic взломом самого блокчейна не является.

Взлом показали в лаборатории

27 октября специалисты Anthropic сообщили: их внутренняя исследовательская модель, которую компания ещё не выпустила, сумела разработать рабочий способ эксплуатации CVE-2026-98432. В лабораторных условиях ИИ построил двухэтапную атаку на Linux-сервер с активным слушателем Multipath TCP и получил права root без учётных данных и без участия пользователя.

Сначала программа раскрывала сведения о расположении ядра в памяти и обходила защиту KASLR, затем тем же багом выполняла команды от имени root. Первый этап занял около 48 минут, второй — ещё пять. Код атаки Anthropic публично не раскрыла. Демонстрация шла на сервере с определённой конфигурацией; о применимости к любому Linux-серверу исследователи не заявляли.

В Amazon Web Services отчитались о патчах для Amazon Linux 2 и Amazon Linux 2023. Сведений об эксплуатации CVE-2026-98432 в реальных атаках у компании нет.

В конце октября криптокошелёк Solflare сообщал об инциденте с ключами валидатора у стороннего стейкинг-провайдера: узел перестал приносить доход тем, кто делегировал ему около 1,56 млн SOL стоимостью $160 млн ≈ 471 млн BYN. Сами активы не пострадали, компания пообещала компенсировать пропущенные награды при переносе стейка на новый валидатор.