Una vulnerabilità kernel Linux classificata come critica, tracciata come CVE-2026-98432, interessa il codice che gestisce le connessioni TCP su IPv4 ed è presente nei kernel dalla versione 4.4 in poi. Red Hat la valuta con impatto «Critical» e Amazon Web Services (AWS) ha già distribuito i kernel corretti per Amazon Linux: la raccomandazione comune è aggiornare e riavviare i sistemi il prima possibile.
Che cosa fa la vulnerabilità kernel Linux CVE-2026-98432
Si tratta di un difetto di tipo use-after-free: secondo il bollettino di Red Hat, durante l’elaborazione delle richieste di connessione TCP le opzioni del socket possono essere liberate mentre un’altra operazione concorrente, come una richiesta ritrasmessa o la migrazione di un socket, le sta ancora usando. Un attaccante remoto e non autenticato può innescare il problema inviando pacchetti TCP IPv4 appositamente costruiti che contengono opzioni IP.
AWS spiega che le conseguenze possono andare dal crash del kernel alla divulgazione di memoria, fino alla corruzione della memoria, e che i ricercatori hanno dimostrato l’esecuzione di codice da remoto senza autenticazione contro host con un listener Multipath TCP (MPTCP). Red Hat precisa che lo sfruttamento richiede una tempistica precisa delle richieste di rete, ma nessun privilegio né interazione dell’utente. Tra i riferimenti del bollettino Red Hat figura anche una ricerca di Anthropic sulla scoperta di vulnerabilità con il modello Claude, un tema già emerso nel caso delle falle di Chrome individuate con l’AI.
Sistemi coinvolti e stato delle patch
Il problema riguarda qualsiasi sistema con un kernel vulnerabile e il networking TCP su IPv4 attivo: i server che accettano connessioni TCP in ingresso sono i più esposti. Red Hat indica come direttamente colpiti RHEL 8, 9 e 10 e OpenShift Container Platform, oltre ai prodotti basati sul kernel RHEL, e sta accelerando il rilascio delle correzioni. Ubuntu segnala ancora come vulnerabili diverse release, tra cui la 24.04 LTS, mentre l’annuncio ufficiale della CVE elenca le versioni stabili del kernel che contengono la correzione, tra cui 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113 e 6.18.56.
Su AWS i pacchetti corretti per Amazon Linux 2 e Amazon Linux 2023 sono già disponibili, così come le AMI aggiornate per EKS ed ECS; Fargate usa una piattaforma corretta per i nuovi task e Lambda, secondo AWS, non è esposta perché non apre porte TCP IPv4 pubbliche. AWS dichiara di non essere a conoscenza di sfruttamenti attivi della falla.
Cosa fare: aggiornamento e mitigazioni temporanee
- Installare il kernel corretto fornito dalla propria distribuzione e riavviare: senza riavvio la correzione non è attiva.
- Dare priorità ai server esposti su Internet e alle macchine dietro bilanciatori che inoltrano i pacchetti TCP così come arrivano, ad esempio i listener TCP dei Network Load Balancer di AWS.
- In attesa della patch, valutare la regola nftables suggerita da Red Hat che scarta i pacchetti TCP IPv4 in ingresso con opzioni IP, dopo averla provata in un ambiente di test: riduce l’esposizione ma non la elimina.
- Dove MPTCP non serve, AWS indica come misura temporanea la sua disattivazione (net.mptcp.enabled=0).
Perché conta
Lo stack TCP è alla base di quasi tutti i servizi di rete, per questo la superficie d’attacco è ampia anche se lo sfruttamento non è banale. Come per altre falle di basso livello che abbiamo seguito di recente, dalla vulnerabilità UEFI nello stack PXE alle correzioni di sicurezza di Tailscale, la regola resta la stessa: inventario dei sistemi, aggiornamento rapido e verifica che il riavvio sia effettivamente avvenuto.
Fonti: Linux CVE announce, Red Hat RHSB-2026-016, AWS Security Bulletin 2026-160, Ubuntu Security, OSV.
