48 Minuten brauchte ein Angriff, den Anthropics Forscher mit Claude entwickelt haben, um aus der Ferne Speicheradressen im Kernel eines Linux-Servers auszulesen. Fünf Minuten später lief ein Befehl mit Root-Rechten, ohne Zugangsdaten.[2] Die kritische Sicherheitslücke CVE-2026-98432 mit CVSS 9,8 steckt in der IPv4-Verbindungsverwaltung, betroffen sind alle ungepatchten Kernel ab Version 4.4.[1]
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Die Voraussetzung für den gezeigten Angriff schaffen Go-Programme seit Version 1.24 standardmäßig, warnt das Go-Sicherheitsteam.[3] Bei Ubuntu und Red Hat standen die Updates am Samstagmorgen noch aus.
Das Wichtigste in Kürze
- Ein Angreifer braucht weder ein Konto noch einen Klick, nur einen erreichbaren TCP-Dienst.
- Anthropics Beispielangriff nutzt Multipath-TCP, das Go-Dienste seit Version 1.24 automatisch anbieten.
- Debian liefert aktualisierte Kernel aus, Ubuntu und Red Hat noch nicht.
Wie funktioniert der Angriff?
Beim Verbindungsaufbau schickt der Angreifer ein SYN-Paket mit IP-Optionen wie Record Route (Wegaufzeichnung) oder Timestamp (Zeitstempel), die der Kernel zur halb offenen Verbindung speichert. Laut CVE-Eintrag reicht der Kernel diese Optionen an die fertige Verbindung weiter, ohne sie zu kopieren.[1] Wiederholt der Angreifer das SYN-Paket und baut die Verbindung zugleich ab, liest ein zweiter Prozessorkern die Optionen noch, obwohl der Speicher schon freigegeben ist.
Anthropics Forscher entwickelten daraus einen zweistufigen Angriff. Zuerst liest der Kernel eine manipulierte Längenangabe und schickt mehr Bytes zurück als vorgesehen. Die Bytes verraten Speicheradressen und hebeln so den Adressschutz KASLR aus. Danach überschreibt derselbe Fehler einen Funktionszeiger, und der Kernel führt einen Befehl des Angreifers aus.[2] Misslingt das zeitliche Zusammentreffen, bricht nur der Verbindungsaufbau ab, der Server läuft weiter. Der Angreifer setzt also beliebig oft neu an.
Warum stehen Go-Programme im Fokus?
Anthropics Angriff zielt auf Server, die Verbindungen über Multipath-TCP annehmen. Das Protokoll verteilt eine Verbindung auf mehrere Netzwege, der Linux-Kernel erlaubt solche Verbindungen standardmäßig.[4] Go schaltet Multipath-TCP seit Version 1.24 für jeden Dienst ein, der auf eingehende Verbindungen wartet.[5]
Das Go-Sicherheitsteam hält den Fehler aber nicht für ein reines Multipath-Problem: Auch Systeme ohne solche Dienste seien womöglich auf ähnlichem Weg angreifbar.[3] Laut Red Hat ist jedes System mit verwundbarem Kernel und IPv4-TCP betroffen, Server mit eingehenden Verbindungen am stärksten.[6] Akamai sieht für seinen Cloud-Dienst Linode bislang keine Hinweise auf Angriffe.[7]
Der Fund gehört zu einer Serie: Mit einem unveröffentlichten Forschungsmodell meldete Anthropic auch 62 Sicherheitslücken in Chrome sowie Fehler in Safari, Android und Windows.[2] OpenAI-Chef Sam Altman hatte vor Studenten in Stanford bezweifelt, dass sich alle Fehler in Software einzeln beheben lassen.
Die Zahlen
Der Ablauf
Was sollten Server-Betreiber jetzt tun?
Die Korrektur steckt in den stabilen Kernel-Zweigen ab 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 und 7.2.10.[1] Debian liefert für Bookworm und Trixie bereits aktualisierte Pakete aus.[8] Ubuntu führt dagegen alle LTS-Versionen von 16.04 bis 26.04 noch als verwundbar.[9] Für Unternehmen, die unter NIS2 fallen, gehört das zügige Einspielen zur Pflicht: § 30 BSIG verlangt ein Schwachstellenmanagement.[10]
Der Fehler lag seit Kernel 4.4 im Code, gefunden hat ihn eine KI. Den nächsten Fund macht vielleicht ein Angreifer.
Markus Seyfferth, Chefredakteur Dr. Web
Diese Schritte helfen:
- Kernel aktualisieren: Spielen Sie das aktualisierte Kernel-Paket Ihrer Distribution gleich nach Erscheinen ein und starten Sie den Server neu.
- Zuständigkeit klären: Fragen Sie Ihren Hoster, ob er den Kernel Ihres virtuellen Servers aktualisiert oder ob die Aufgabe bei Ihnen liegt.
- Dienste finden: Der Befehl
ss -Mlistet die Multipath-TCP-Verbindungen eines Servers auf.[11] - Multipath-TCP abschalten:
sysctl -w net.mptcp.enabled=0verhindert neue Multipath-Verbindungen für das ganze System.[4] Für einzelne Go-Programme genügt die UmgebungsvariableGODEBUG=multipathtcp=0, laut Go-Team aber nur als unzuverlässige Notlösung.[3] - IP-Optionen filtern: Red Hat veröffentlicht eine nftables-Regel, die eingehende IPv4-TCP-Pakete mit IP-Optionen verwirft. Die Regel verringert das Risiko, ersetzt das Update aber nicht.[6]
Quellen
11 Quellen anzeigenQuellen ausblenden
- CVE ProgramCVE-2026-98432, „ipv4: free inet_opt and ireq_opt after an RCU grace period“, veröffentlicht am 15. Oktober 2026
- AnthropicDiscovering and exploiting vulnerabilities in critical, real-world software with Claude, Frontier Red Team
- Go Security Team[security] Protecting against CVE-2026-98432, Neal Patel, golang-announce
- Linux-Kernel-DokumentationMPTCP Sysfs variables, Eintrag „enabled“
- GoGo, Backwards Compatibility, and GODEBUG, Abschnitt Go 1.24
- Red HatRHSB-2026-016 Use-after-free, kernel IPv4 (CVE-2026-98432)
- LinodeCustomer Security Advisory: CVE-2026-98432, Statusseite, 30. und
- DebianSecurity Tracker, CVE-2026-98432, abgerufen am 31. Oktober 2026
- UbuntuCVE-2026-98432, Paketstatus, abgerufen am 31. Oktober 2026
- Bundesministerium der Justiz§ 30 BSI-Gesetz, Risikomanagementmaßnahmen
- man7.orgss(8), Option „-M, –mptcp“
Mehr Newshunger?
- Nginx: Drei kritische Sicherheitslücken im Webserver fast jeder dritten Website
- Tailscale schließt schwere Sicherheitslücken, über die SSH-Sitzungen volle Systemrechte erlangen konnten
- Kritische Sicherheitslücke in UEFI-Firmware bedroht Server, die über das Netzwerk starten
- HTTP2Shell: Lücke in Googles Brotli trifft Node.js, Python und weitere Software
- Fortinet schließt von KI gefundene Lücken, Details folgen erst am 10. November
- Linus Torvalds legt KI-gestützte Kernel-Patches vor: im synthetischen Test 23-mal schneller
