Linux 核心處理 IPv4 TCP 連線的程式碼出現 CVSS 9.8 的漏洞 CVE-2026-98432。Anthropic 10/27 公開研究，表示旗下尚未公開的 Claude 研究模型寫出了可用的攻擊程式：對有「多路徑 TCP（MPTCP）」監聽服務的 Linux 伺服器送出特製封包，不需帳號、不需使用者操作，就能以 root 執行指令。上游核心早已修補，但截至 10/30，Red Hat（RHEL 8／9／10）與 Ubuntu 仍未釋出修補後的核心。台灣企業機房、雲端主機大量跑 Linux，這週值得排進優先處理清單。
事件經過
- Linux 4.4 起：引入問題的程式變更從 4.4 版就存在，影響多個仍在維護的核心分支。
- CVE 公布前：上游已完成修補，把相關記憶體改為在 RCU grace period 之後才釋放（TuxCare 指修補日期為 10/5，此日期「未核實」）。
- 10/15：Linux 核心 CVE 團隊公布 CVE-2026-98432。
- 10/16 起：Debian、Oracle Linux UEK 等陸續釋出修補。
- 10/27：Anthropic 公開攻擊驗證：第一階段遠端繞過 KASLR、洩漏核心位址（測試中約 48 分鐘），第二階段改寫函式指標執行 root 指令（約 5 分鐘）。競態條件失敗時通常只會讓那次 TCP 握手失敗、不會讓系統當機，因此攻擊者可以一直重試。
- 10/29：Go 安全團隊提醒，Go 1.24 起的 Go 程式在 Linux 上預設為監聽 socket 啟用 MPTCP，很多系統可能「不知不覺」就有 MPTCP 監聽服務。
- 10/30：iThome、CSO Online 等報導，部分發行版仍待修補。
重點
- 漏洞本質：IPv4 TCP 建立連線時，不同 CPU 同時處理重傳的連線請求，核心可能提前釋放另一條路徑仍在讀取的 IP options 記憶體，形成 use-after-free。
- 已公開的攻擊路徑需要 MPTCP 監聽服務；但 Go 安全團隊與 oss-security 公告都強調，底層漏洞「不是 MPTCP 專屬」，沒有 MPTCP 監聽的系統也可能遭類似攻擊。根本解法還是更新核心。
- 評分不一：核心 CVE 團隊與 Canonical 給 9.8；Red Hat 評 8.1，認為攻擊複雜度較高。若貴公司的修補 SLA 依廠商嚴重度排程，這個 CVE 可能被低估。
- 目前狀態：Anthropic 未公開攻擊程式碼；據 TuxCare 截至 10/30 的整理，尚無在野利用的公開報告，也未列入 CISA KEV（此點為單一來源，「未核實」）。
- 已修補的上游核心版本：5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、7.3（7.3-rc7）。
| 發行版 | 截至 10/30 狀態 |
|---|---|
| Debian 12／13 | 已修補（如 DSA-6568-1，linux 6.12.113-1） |
| Oracle Linux UEK | 已修補部分核心 |
| SUSE | 部分版本已修補，部分進行中 |
| Amazon Linux 2023 | 部分核心套件已修補；Amazon Linux 2 仍待修補 |
| Ubuntu | 多個版本修補中，尚未釋出 |
| RHEL 8／9／10 | 尚未釋出修補 |
對你的實務建議
企業／IT 管理者
- 先查有沒有 MPTCP 監聽服務：執行
ss -H -lMn，有輸出的每一行就是一個 MPTCP 監聽。也可看sysctl net.mptcp.enabled是否為1。特別注意 Go 1.24 以後編譯的 API gateway、反向代理、內部服務。 - 已有修補核心的發行版：直接更新核心並重開機（或使用免重開機的 live patch），不必等。
- 還沒有修補的主機（RHEL、Ubuntu 等）先做緩解：不需要 MPTCP 就關掉，
sysctl -w net.mptcp.enabled=0，並寫入/etc/sysctl.d/讓它重開機後仍有效，再重啟已開 MPTCP 的服務；Go 程式可用GODEBUG=multipathtcp=0。注意：Red Hat 系列預設本來就是關閉。 - 對外服務優先：先處理直接面向網際網路的 Linux 主機、防火牆後但有對外埠的服務，以及雲端 VM。
- 不要只看版本號：RHEL、Ubuntu 核心常有 backport，請對照廠商公告確認套件版本是否已含修補。
- 修補 SLA 不要只看廠商嚴重度：此 CVE 在部分弱點掃描工具上可能顯示為中度，建議手動提高優先級。
一般用戶
- 家用電腦通常不是主要目標：已公開的攻擊對象是有 MPTCP 監聽服務的伺服器。不過若你自架 Linux 伺服器、NAS 或 VPS，請照上面企業建議檢查並更新。
- Linux 桌機、筆電照常開啟自動更新，發行版推出核心更新後記得重新開機才會生效。
- 租用雲端主機、VPS 的個人站長：登入主機執行
uname -r和套件更新，若服務商提供核心更新公告，照指示處理。
資料來源
- Anthropic：Discovering and exploiting vulnerabilities in critical, real-world software with Claude（2026/10/27）
- linux-cve-announce：CVE-2026-98432（2026/10/15）
- oss-security：Protecting against CVE-2026-98432 when using Go programs（2026/10/30）
- LWN.net：Remote code execution on Linux systems with multipath TCP
- iThome：Linux TCP漏洞可被用來遠端取得root權限，部分發行版尚未修補（2026/10/30）
- CSO Online：Anthropic AI model finds Linux kernel bug that leads to remote root access
- TuxCare：CVE-2026-98432 Linux TCP remote root（2026/10/30）
發表留言