Los usuarios de Ubuntu y Red Hat Enterprise Linux seguían esperando las correcciones de sus distribuciones el 29 de octubre para CVE-2026-98432, un fallo en la pila de red del kernel de Linux que Anthropic afirma haber explotado para ejecutar comandos de forma remota como root. La demostración de la empresa tenía como objetivo servidores con un socket de escucha de TCP multitrayecto (multipath TCP); no demuestra que la misma toma de control funcione contra servidores que no lo tengan.
La vulnerabilidad ya está corregida en el upstream, pero la disponibilidad de la corrección a través de los paquetes de las distribuciones varía. Ubuntu marca los kernels afectados como vulnerables o en desarrollo, mientras que The Hacker News informa de que las correcciones para RHEL 8, 9 y 10 y OpenShift 4 siguen aplazadas. El aviso de SUSE enumera correcciones publicadas para varios productos empresariales.
Lo que establece la afirmación de explotación
En un anuncio del 27 de octubre, Anthropic dijo que Claude escribió el exploit para Linux tras una instrucción inicial. Según la empresa, un atacante podría enviar paquetes a un servidor con un socket de escucha de multipath TCP y ejecutar un comando de shell arbitrario como root, sin credenciales ni interacción del usuario.
El TCP multitrayecto, o MPTCP, permite que una conexión use varias rutas de red. Según The Hacker News, las aplicaciones de Linux deben solicitarlo explícitamente al abrir un socket. La relación entre MPTCP y este exploit procede del relato de Anthropic; la corrección del kernel y la descripción del CVE no lo identifican como requisito previo del fallo subyacente.
Anthropic describió dos etapas de explotación. En primer lugar, el fallo hace que el kernel devuelva contenido adicional de la memoria. Una respuesta que contenga un puntero del kernel revela la disposición de la memoria, lo que anula la aleatorización de la disposición del espacio de direcciones del kernel (KASLR). La segunda etapa aprovecha el mismo fallo para desbordar un búfer y sustituir un puntero de callback, redirigiendo la ejecución hacia una carga útil ya colocada en la memoria del kernel.
La empresa afirmó que un intento fallido solo hacía fallar el protocolo de enlace (handshake) de la conexión, lo que permitía repetir los intentos sin bloquear el servidor. Su prueba de concepto tardó 48 minutos en filtrar un puntero del kernel y otros cinco minutos en ejecutar un comando de shell. La publicación no ofrece el código del exploit, la versión del kernel probada ni su configuración, lo que limita lo que los lectores pueden concluir sobre otros despliegues.
Una condición de carrera durante el manejo de conexiones
El aviso de Ubuntu para CVE-2026-98432 describe un error de temporización en el que una CPU puede liberar las opciones de socket IPv4 mientras otra todavía las lee durante el manejo de conexiones TCP. Leer esa memoria ya liberada genera una condición de use-after-free. Un problema relacionado aparece durante la migración del request socket.
La corrección retrasa la liberación de las opciones hasta que los lectores concurrentes terminan. IPv6 no se ve afectado por el primer problema, porque su código de manejo de conexiones copia las opciones. El aviso identifica por separado un problema de migración en IPv6 relacionado con opciones establecidas por CALIPSO, que se abordará en otro parche; no concede a IPv6 una exención general de problemas relacionados.
The Hacker News informa de que el fallo se remonta a Linux 4.4 y de que los desarrolladores aplicaron la corrección el 5 de octubre. El CVE se publicó el 15 de octubre, antes de que Anthropic diera a conocer su afirmación de explotación.
Las valoraciones de gravedad difieren. El equipo de CVE del kernel asigna 9,8 sobre 10, al considerar baja la complejidad del ataque. El aviso de Red Hat da una puntuación preliminar de 8,1, con complejidad de ataque alta, la misma distinción que refleja la valoración de 8,1 de SUSE. Red Hat describe los bloqueos del sistema como la consecuencia principal, junto con una posible corrupción de memoria.
Qué correcciones están disponibles
El aviso de Ubuntu, actualizado por última vez el 28 de octubre, enumera sus kernels principales para 22.04 LTS, 24.04 LTS, 26.04 LTS y 26.10 como vulnerables, con correcciones en curso. Sus kernels principales para 16.04, 18.04 y 20.04 también son vulnerables. Las variantes listadas para cloud, FIPS y tiempo real tienen estados pendientes propios; las versiones propuestas marcadas como «work in progress» no son correcciones publicadas.
La lista de paquetes publicados de SUSE identifica estas versiones mínimas corregidas para kernel-default:
- SLES 15 SP4-LTSS y SUSE Linux Enterprise Micro 5.3 y 5.4:
5.14.21-150400.24.246.1. - SLES 15 SP5-LTSS y SUSE Linux Enterprise Micro 5.5:
5.14.21-150500.55.195.1. - SLES 15 SP6-LTSS:
6.4.0-150600.23.143.1. - SLES 16.0:
6.12.0-160000.40.1.
Para los kernels de tiempo real, SUSE enumera por separado las correcciones de kernel-rt en 5.14.21-150400.15.192.2 para Micro 5.4 y 5.14.21-150500.13.167.2 para Micro 5.5. Estas versiones específicas de paquetes importan, aunque el estado general del CVE en SUSE siga como «Pending».
Para otras distribuciones, The Hacker News informa de correcciones en linux 6.12.113-1 para Debian trixie, linux 6.1.190-1 y linux-6.12 6.12.113-1~deb12u1 para Debian 12, y en los avisos UEK de Oracle Linux 7–10 ELSA-2026-500397, ELSA-2026-500398 y ELSA-2026-500399. También identifica correcciones de Amazon Linux 2023 para kernel6.18 en 6.18.56-125.164.amzn2023 y para kernel6.12 en 6.12.113-138.209.amzn2023; estas no cubren todos los paquetes de kernel de Amazon Linux.
Red Hat indica que ninguna mitigación disponible cumple sus criterios de despliegue, aplicabilidad y estabilidad. Las pruebas no establecen que desactivar MPTCP o filtrar solicitudes de conexión que lleven opciones IP mitigue el fallo. Según The Hacker News, a 29 de octubre no se informó de ataques que lo utilizaran en los avisos de los proveedores, en el registro CVE ni en la publicación de Anthropic. Es una distinción respecto a la prueba de concepto alegada por la empresa.
