Canonical hat für die kritische Linux-Sicherheitslücke CVE-2026-98432 auch 19 Tage nach ihrer Veröffentlichung kein reguläres Kernel-Update für die LTS-Versionen von Ubuntu ausgeliefert. Die korrigierten Kernel für 22.04, 24.04 und 26.04 liegen nur im Testkanal „-proposed“, den Server nicht von selbst nutzen.[1] Debian hatte am 16. Oktober aktualisiert, Red Hat am 1. November.[3][4]
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Canonical begründet die Wartezeit mit Tests auf mehr als 2.000 zertifizierten Servern und Geräten. Für die älteren Versionen 16.04 bis 20.04, die nur noch über das Abo Ubuntu Pro versorgt werden, steht die Korrektur ganz aus.[1]
Das Wichtigste in Kürze
- Ubuntus Sicherheitsseite führt alle LTS-Versionen von 16.04 bis 26.04 weiter als anfällig.
- Ubuntu vergibt die Priorität „High“, Red Hat die Stufe „Critical“.
- Der korrigierte Kernel lässt sich bereits aus dem Testkanal installieren.
- Firewall-Regeln senken das Risiko, ersetzen das Update aber nicht.
Warum kommt das Ubuntu-Update so spät?
Der Fehler steckt in dem Teil des Kernels, der IPv4-TCP-Verbindungen aufbaut, und erlaubt laut Canonical das Ausführen von Code aus der Ferne. Anthropic hatte am 27. Oktober beschrieben, wie seine Forscher damit Root-Rechte auf einem Server erlangten, den Angriffscode aber nicht veröffentlicht. Ein anderer Angriff ist laut Canonical bisher nicht bekannt.[1] Als Dr. Web am 31. Oktober erstmals über die Lücke berichtete, standen die Updates bei Ubuntu und Red Hat noch aus.
Ubuntu bewertet die Lücke intern mit der Priorität „High“.[2] Nach Ubuntus eigenen Richtlinien gilt „Critical“ für Probleme, die in einer Standardinstallation fast alle Nutzer treffen und Root-Rechte aus der Ferne verschaffen.[5] Red Hat stuft dieselbe Lücke als kritisch ein und lieferte die Kernel für RHEL 8, 9 und 10 am 1. November aus.[4]
Was sagt der Fall über die Patch-Praxis aus?
Canonical hatte am 23. September einen schnelleren Kernel-Zyklus angekündigt: Kernel erscheinen künftig wöchentlich, jeder Zyklus dauert zwei Wochen, davon eine für Zertifizierungstests. Begründet wurde das mit der Flut an Sicherheitslücken, die KI-Werkzeuge inzwischen finden. Betreibern, denen das zu langsam ist, empfahl Canonical, die Kernel aus „-proposed“ selbst zu testen. Bis zum Patch wollte das Unternehmen binnen 24 bis 48 Stunden nach Bekanntwerden einer Lücke Übergangslösungen nennen, sofern es welche gibt.[6] Im Blogbeitrag vom 2. November hält das Ubuntu-Sicherheitsteam für diese Lücke nur das Update für eine angemessene Abhilfe.[1]
Ein Update, das erst nach Tests auf 2.000 Geräten kommt, schützt keinen Server, der heute angegriffen wird.
Markus Seyfferth, Chefredakteur Dr. Web
Die Zahlen
Der Ablauf
Was sollten Betreiber von Ubuntu-Servern jetzt tun?
Für Unternehmen, die unter NIS2 fallen, verlangt § 30 BSIG ein Schwachstellenmanagement.[8] Bei einem virtuellen Server lohnt die Frage an den Hoster, wer den Kernel aktualisiert.
- Kernel prüfen: Den laufenden Kernel zeigt der Befehl uname -r an. Korrigiert sind 5.15.0-203.213 (22.04), 6.8.0-149.149 (24.04) und 7.0.0-43.43 (26.04).[1]
- Testkanal nutzen: Canonical beschreibt die gezielte Installation aus „-proposed“, danach ist ein Neustart nötig.[1]
- IP-Optionen filtern: Eine nftables-Regel von Red Hat verwirft eingehende IPv4-TCP-Pakete mit IP-Optionen. Sie senkt das Risiko, verhindert den Angriff laut Red Hat aber nicht vollständig.[7]
Multipath-TCP abzuschalten reicht laut Canonical nicht, der Fehler hängt nicht an diesem Protokoll.[1] Einen Termin für das reguläre Update nennt Canonical nicht.
Quellen
8 Quellen anzeigenQuellen ausblenden
- UbuntuFixes available in -proposed pocket for CVE-2026-98432, Blog
- UbuntuCVE-2026-98432, Priorität und Paketstatus, abgerufen am 3. November 2026
- Debian[DSA 6568-1] linux security update, Salvatore Bonaccorso
- Red HatCVE-2026-98432, Einstufung und Sicherheitsupdates, abgerufen am 3. November 2026
- UbuntuAbout CVEs, Abschnitt „Priority levels“
- CanonicalAccelerating delivery of CVE fixes with a new Kernel release strategy, Blog
- Red HatRHSB-2026-016 Use-after-free, kernel IPv4 (CVE-2026-98432), Abschnitt zur nftables-Regel
- Bundesministerium der Justiz§ 30 BSI-Gesetz, Risikomanagementmaßnahmen
Mehr Newshunger?
- Kritische Linux-Sicherheitslücke CVE-2026-98432: Server mit Go-Programmen sind standardmäßig angreifbar
- Kritische Brotli-Sicherheitslücke: WordPress-Websites über Pingbacks angreifbar
- Nginx: Drei kritische Sicherheitslücken im Webserver fast jeder dritten Website
- Tailscale schließt schwere Sicherheitslücken, über die SSH-Sitzungen volle Systemrechte erlangen konnten
- HTTP2Shell: Lücke in Googles Brotli trifft Node.js, Python und weitere Software
- PostgreSQL 19 verspätet sich, weil viel mehr Fehler gefunden werden
