CVE-2026-98432 afeta o kernel Linux IPv4 TCP

Vários fornecedores e distribuições publicaram correções para a CVE-2026-98432, uma vulnerabilidade use-after-free no kernel Linux que afeta o tratamento de conexões TCP IPv4 de entrada. Os avisos convergem ao apontar que a falha pode causar travamentos do kernel, divulgação de memória ou corrupção de memória, e alguns relatam risco de execução remota de código em determinadas condições.

¿Qué describieron los proveedores?

AlmaLinux, Red Hat, CloudLinux, AWS, Ubuntu, STACKIT, Akamai, Konfirmity, F5 e o Centro de Computação da Universidade de Heidelberg publicaram avisos sobre a mesma falha. Nesse conjunto de relatos, a vulnerabilidade aparece ligada ao stack TCP IPv4 do kernel Linux e a um problema de liberação de memória associado ao processamento de conexões de entrada.

A Red Hat classificou a falha como crítica e afirmou que um atacante remoto sem autenticação poderia explorar uma condição de corrida durante o processamento de requisições TCP para provocar execução remota de código. A AWS, por sua vez, informou que, sob condições específicas, um terceiro remoto sem autenticação pode enviar pacotes TCP IPv4 especialmente construídos com opções IP para uma porta exposta, com a possibilidade de travamento do kernel, divulgação de memória ou corrupção de memória.

A CloudLinux descreveu a falha como um use-after-free no código do handshake TCP IPv4, relacionado à liberação de memória sem aguardar um período de graça RCU. A F5 detalhou a correção upstream e explicou que a memória inet_opt e ireq_opt deve ser liberada depois desse período de graça, porque tcp_v4_syn_recv_sock() transfere a propriedade de ireq->ireq_opt para o socket filho sem copiá-la.

¿Qué alcance técnico se informou?

A STACKIT informou que a CVE-2026-98432 afeta IPv4, não IPv6, e publicou versões corrigidas do kernel para várias ramificações. O aviso lista 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3.10.

A AlmaLinux também anunciou kernels corrigidos para suas versões 8, 9 e 10. A Ubuntu informou que as correções estavam disponíveis inicialmente no repositório proposed e recomendou aplicar as atualizações de segurança correspondentes. A Konfirmity acrescentou que um atacante capaz de alcançar qualquer porta TCP em escuta pode acionar a falha antes de a aplicação receber a conexão, e citou como ambientes relevantes hosts de contêineres e nós Kubernetes.

A Akamai descreveu a falha como um use-after-free remoto no stack TCP do kernel Linux e afirmou que um exploit divulgado permitiria a um atacante remoto sem autenticação executar comandos como root em servidores Linux com um listener MPTCP. Esse alcance específico deve ser tratado com cautela, porque o material disponível não traz confirmação independente.

¿Qué dijo la Universidad de Heidelberg?

O Centro de Computação da Universidade de Heidelberg informou que, sob certas condições, a CVE-2026-98432 pode permitir bloquear remotamente o kernel Linux ou, sob certas condições, viabilizar execução remota de código. A formulação foi apresentada como uma possibilidade condicionada, não como confirmação de exploração observada.