LONDON (IT BOLTWISE) – Red Hat hat für RHEL 8, 9 und 10 Kernel-Updates gegen eine IPv4-TCP-Schwachstelle mit Remote-Code-Execution-Risiko veröffentlicht. Der Fehler trägt die Kennung CVE-2026-98432 und wird vom Linux-CVE-Team mit 9,8 von 10 Punkten bewertet. Für Ubuntu liegen die Fixes in einem opt-in Testing-Channel vor, ohne konkreten Termin für ein reguläres Update. Bis zur Installation empfiehlt Red Hat zwar eine nftables-Regel als Zwischenmaßnahme, betont aber, dass sie Ausnutzung nicht zuverlässig verhindert.
Auf den ersten Blick wirkt die Meldung wie ein weiteres Kernel-Update aus dem Sicherheitsbetrieb. Beim Lesen der Details wird jedoch klar, warum sie bei Netzwerk- und Platform-Teams sofort Priorität bekommt: In der Linux-IPv4-TCP-Implementierung steckt eine Use-after-free-Schwachstelle, die sich aus der Ferne ohne Authentifizierung anstoßen lässt und in der Folge bis zu Remote Code Execution (RCE) führen kann. Die Lücke ist als CVE-2026-98432 erfasst, und das Linux-CVE-Team stuft sie mit 9,8/10 im CVSS-Raster ein. Red Hat hat die Bewertung gegenüber der ursprünglichen Einschätzung sogar nach oben korrigiert und bezeichnet den Fehler nun als Critical statt „Moderate“ (5,9).
Der technische Kern liegt in der Art, wie der Kernel Optionen aus IPv4-TCP-Verbindungsanforderungen behandelt. Wenn ein Server eine IPv4-TCP-Verbindung akzeptiert, übergibt der Kernel IP-Optionen aus dem eingehenden Request an den neu erzeugten Socket – ohne die Optionen zuvor korrekt zu kopieren. Ein Angreifer kann die Schwachstelle als Race-Condition ausnutzen: Er löst eine Situation aus, in der ein Prozessor noch auf diese Optionen zugreift, während ein anderer Prozessor den Speicher bereits freigegeben hat. Trägt die Verbindungsanfrage bestimmte IPv4-Optionen wie Record Route oder Timestamp, kann der Kernel dadurch auf bereits freigegebenen Speicher lesen. In der Praxis ist das keine „Sprachversion“-Abhängigkeit, sondern eine Pfad-spezifische Schwäche im IPv4-TCP-Code.
Für Red Hat ist der Patch am 1. November 2026 in Form konkreter Errata verfügbar: RHSA-2026:93414 für RHEL 8, RHSA-2026:93412 für RHEL 9 und RHSA-2026:93413 für RHEL 10. Der Update-Stand ist versioniert, inklusive der nötigen Boot-Anpassung nach der Installation. Für RHEL 8 betrifft es den Kernel 4.18.0-553.182.1.el8_10, für RHEL 9 5.14.0-687.64.1.el9_8 und für RHEL 10 6.12.0-211.72.1.el10_2. Historisch ist die Ursache nicht neu: Die Schwachstelle soll seit Linux 4.4 im Systempfad vorhanden gewesen sein, während der Upstream-Fix im Oktober gelandet ist. Dass ein Distribution-Fix bereits kurz nach dem Upstream-Eintrag verfügbar wird, reduziert zwar die Zeit bis zur Risikoreduktion, ersetzt aber nicht die Notwendigkeit, die Updates auch tatsächlich einzuspielen und die Systeme anschließend neu zu starten.
Ubuntu geht einen etwas anderen Weg. Canonical hat die Fixes für die drei neuesten Long-Term-Support-Versionen in den -proposed Pocket gelegt, einen opt-in Testing-Channel ohne automatischen Rollout und ohne festes Veröffentlichungsdatum für den regulären Update-Stream. Betroffen sind 22.04 LTS (Jammy), 24.04 LTS (Noble) und 26.04 LTS (Resolute), wobei dort jeweils konkrete Kernel-Versionen im -proposed-Channel stehen: 5.15.0-203.213, 6.8.0-149.149 und 7.0.0-43.43. Der Artikel nennt zudem einen direkten Weg, wie Administratoren den -proposed-Channel aktivieren und nur die benötigten Kernel-Updates installieren können, inklusive anschließender sudo reboot-Empfehlung. Für 20.04/18.04/16.04 heißt es hingegen: Hier ist noch kein Fix verfügbar, ältere Releases benötigen je nach Setup den Weg über Extended Security Maintenance via Ubuntu Pro.
Weil ein regulärer Rollout bei Ubuntu nicht sofort erfolgt, spielt die Zwischenmaßnahme in der Betriebspraxis eine Rolle. Red Hat hat bereits am 30. Oktober eine nftables-Regel veröffentlicht, die eingehende IPv4-TCP-Pakete mit IP-Optionen blockt. Inhaltlich zielt sie genau auf die bekannten Auslösebedingungen ab, indem sie TCP-Verkehr mit Headerlängen über einen Schwellenwert hinaus verwirft und damit Pakete verwirft, die die IP-Optionen tragen. Der Haken: Die Regel blockiert den bekannten Trigger, kann Ausnutzung aber nicht vollständig verhindern und kann außerdem Workloads brechen, die IPv4-Optionen im legitimen Betrieb erwarten. Zusätzlich weist eine Anmerkung aus der Community darauf hin, dass die Filterwirkung nur für den Host gilt, auf dem die Regel geladen ist; Traffic zwischen Containern auf demselben Host kann die Prüfung umgehen. In dieselbe Risikolücke fällt auch der häufig genannte Workaround Multipath TCP (MPTCP): Zwar wird das Thema gelegentlich als Entlastung genannt, doch Canonical stellt klar, dass der Fehler im IPv4-TCP-Pfad liegt und eine reine MPTCP-Deaktivierung nicht ausreicht.
Wie angespannt die Lage wirklich ist, zeigt der Abschnitt zum Ausnutzungsstatus. Laut den Angaben wurde bislang von keinem Anbieter, keinem CERT und auch nicht vom Kernel-CVE-Umfeld berichtet, dass die Lücke aktiv ausgenutzt wird. Außerdem tauchte sie zum Stand der Veröffentlichung des CISA-Katalogs (10/30) nicht in dessen Liste der „Known Exploited Vulnerabilities“ auf. Interessant ist aber die Forschungsperspektive: Laut einem Hinweis eines Unternehmens existiert ein unreleased internes Forschungsresultat, wonach ein internes Modell einen Remote-Root-Exploit für die Schwachstelle erstellen konnte, der ohne Credentials und ohne User Interaction gegen Linux-Server mit MPTCP-Listener funktionieren soll; Code wurde dabei nicht veröffentlicht. Parallel dazu gibt es auf GitHub „Proof-only“-Material, das die Race-Condition anstößt und überprüft, ob der Kernel freigegebenen Speicher im SYN-ACK wiederholt, aber keine Code-Execution implementiert. Für Entscheider bedeutet das: Selbst ohne dokumentierte Angriffe bleibt die Lücke wegen der einfachen Remote-Erreichbarkeit und der potenziellen RCE-Folge oberhalb der „Abwartebene“.
In der Umsetzung sollten Teams damit nicht nur die reine Patch-Einspielung planen, sondern auch die Reihenfolge und Verifikation. Für Red Hat spricht der veröffentlichte RHSA-Stand in Kombination mit der konkreten Kernelversion dafür, dass ein kontrolliertes Rollout inklusive Reboot-Fenster die schnellste Risikoreduktion liefert. Bei Ubuntu hängt der Zeitplan stärker davon ab, ob man den -proposed-Channel für betroffene Systeme schon jetzt nutzen kann oder ob man auf den späteren regulären Stream wartet. Praktisch ist auch die Prüfung der eigenen Exponierung wichtig: Die Schwachstelle betrifft IPv4-TCP mit IP-Optionen und benötigt keine Login-Phase, daher ist die Angriffsfläche typischerweise über öffentlich erreichbare Ports oder Load-Balancer/Ingress-Komponenten gegeben, die solche TCP-Optionen weiterreichen. Für die Betriebssicherheit ist schließlich entscheidend, dass Interim-Regeln wie nftables als Übergangslösung verstanden werden und nicht als Ersatz für den eigentlichen Kernel-Fix.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Red Hat und Ubuntu reagieren auf CVE-2026-98432 mit TCP-RCE-Fix" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Red Hat und Ubuntu reagieren auf CVE-2026-98432 mit TCP-RCE-Fix" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Red Hat und Ubuntu reagieren auf CVE-2026-98432 mit TCP-RCE-Fix« bei Google Deutschland suchen, bei Bing oder Google News!