CVE-2026-98432: Ubuntu dan RHEL Masih Belum Ada Patch, dan Model Claude Sudah Menulis Eksploit

Dua fakta tentang CVE-2026-98432 tidak nyaman untuk disandingkan. Ini adalah use-after-free pada handshake TCP IPv4 di kernel Linux, yang dapat dijangkau melalui jaringan tanpa login dan tanpa interaksi, dan tim CVE kernel memberinya skor 9,8. Per 30 Oktober 2026, Ubuntu belum memiliki perbaikan yang dirilis untuk 22.04, 24.04, 26.04, atau 26.10, dan Red Hat mencantumkan RHEL 8, 9, dan 10 sebagai terdampak tanpa perbaikan dan tanpa mitigasi yang didukung. Fakta kedua adalah bahwa pada 27 Oktober, Anthropic menerbitkan riset yang menyatakan bahwa model Claude yang belum dirilis menghasilkan proof of concept yang berfungsi untuk root jarak jauh tanpa autentikasi terhadap server dengan listener MPTCP — sekitar 48 menit untuk membocorkan alamat kernel dan lima menit lagi untuk eksekusi perintah.

Kerentanan yang belum dapat ditambal oleh dua vendor Linux perusahaan terbesar, dengan eksploit yang berfungsi dan ditulis sebagian oleh mesin, bukanlah Patch Tuesday rutin. Inilah kasus yang menentukan apakah proses upgrade kernel dan kebijakan akses agen Anda saling berkaitan.

Bug-nya, dalam satu paragraf.

Saat koneksi TCP sedang disiapkan, opsi IP yang terlampir pada paket masuk diserahkan ke socket baru alih-alih disalin. Jika handshake mengirim ulang, paket dapat diproses pada CPU yang berbeda dari CPU yang memiliki buffer opsi — dan CPU kedua tersebut dapat membaca memori yang sudah dibebaskan oleh CPU pertama. Kondisi race serupa juga ada pada jalur migrasi permintaan. Rentang yang terdampak dimulai pada kernel 4.4, yang berarti sebagian besar mesin yang masih menjalankan kernel yang dipelihara. Perbaikan upstream, commit code>e3f33b0a1d89/code>, menunda pembebasan buffer opsi hingga tidak ada core lain yang masih dapat memegang referensi.

Eksploitabilitasnya mengikuti mekanika tersebut: tanpa autentikasi, tanpa interaksi pengguna, jalur yang dapat dijangkau melalui jaringan, dan race yang dapat dicoba ulang. Ringkasan Anthropic sendiri tentang mengapa PoC itu praktis justru adalah sifat tersebut — race yang kalah menggagalkan satu handshake alih-alih membuat mesin crash, sehingga penyerang mencoba lagi.

Tiga vendor, tiga angka tingkat keparahan

Pembagian skor adalah bagian yang layak diinternalisasi, karena itulah yang menentukan apakah scanner Anda akan membuat tiket minggu ini.

• Kernel CVE team — 9,8, kritis. Dapat dijangkau melalui jaringan, tidak memerlukan hak istimewa, tanpa interaksi.

• Red Hat — 8.1, Penting. Posisi perusahaan adalah bahwa perlombaan itu sulit dimenangkan dalam praktik.

• Ubuntu — Prioritas tinggi, tanpa skor numerik yang dipublikasikan pada halaman yang diperiksa.

Kesenjangan antara 9,8 dan 8,1 bukanlah perbedaan pendapat tentang bug tersebut; melainkan perbedaan pendapat tentang probabilitas memenangkan sebuah race. Keduanya dapat dipertahankan, dan perbedaannya penting secara operasional: 9,8 dengan PoC publik adalah keadaan darurat, sedangkan 8,1 dengan race yang sulit adalah perbaikan terjadwal. Sampai seseorang menerbitkan angka reproduksi pada perangkat keras nyata, pembacaan yang jujur adalah bahwa race tersebut dapat dimenangkan, karena sebuah model frontier dilaporkan telah memenangkannya.

Siapa yang punya solusi, dan siapa yang tidak.

Per 29–30 Oktober, gambaran situasinya tidak merata dengan cara yang menjebak orang-orang yang menganggap kernel stabil berarti sudah ditambal.

• Debian 12 bookworm — diperbaiki dalam 6.1.190-1 melalui DLA-4841-1.

• Debian 13 trixie — diperbaiki pada 6.12.113-1 melalui DSA-6568-1.

• Ubuntu 22.04, 24.04, 26.04, 26.10 — belum ada perbaikan yang dirilis; masih dalam proses.

• Ubuntu 16.04, 18.04, 20.04 — rentan, belum ada perbaikan yang dirilis.

• RHEL 8, 9, 10 dan OpenShift 4 — terdampak, tidak ada perbaikan, dan tidak ada mitigasi yang didukung Red Hat.

• RHEL 6 dan 7 — tidak terpengaruh.

• Amazon Linux 2023 — kernel 6.18 dilaporkan telah diperbaiki; Oracle Linux UEK dilaporkan telah diperbaiki; SUSE melaporkan beberapa rilis telah diperbaiki dan lainnya masih dalam pengujian, tanpa menyebutkan versinya.

Rilis stabil upstream yang membawa perbaikan adalah 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, dan 7.3 — yang merupakan daftar untuk diperiksa terhadap build Anda sendiri jika Anda mengompilasi kernel sendiri alih-alih menggunakan paket distribusi.

Mengapa MPTCP terus muncul

Bug ini bukan khusus MPTCP, dan di sinilah banyak liputan menjadi keliru. Red Hat menganggap layanan TCP apa pun yang dapat dijangkau sebagai pemicu potensial. Yang disediakan MPTCP adalah jalur yang telah didemonstrasikan, dan yang menyediakan lalu lintasnya adalah Go: versi 1.24 dan yang lebih baru mengaktifkan multipath TCP secara default untuk soket pendengar Linux ketika kernel telah mengaktifkan MPTCP. Tim keamanan Go memperingatkan tentang kombinasi tersebut pada 29 Oktober.

Jadi, “menonaktifkan MPTCP” menghilangkan jalur yang ditunjukkan Anthropic, bukan kerentanannya. Ini adalah langkah sementara yang dapat dipertahankan dengan satu catatan khusus: layak dilakukan pada layanan Go saat ini, dan bukan pengganti kernel yang telah ditambal.

Pemeriksaannya singkat:

• code>ss -Mltnp/code> — daftar socket yang saat ini menggunakan MPTCP.

• code>net.mptcp.enabled/code> — apakah fitur kernel tersebut aktif sama sekali.

• code>net.ipv4.tcp_migrate_req/code> — nonaktif secara default; jika Anda mengaktifkannya, nonaktifkan kembali.

Khusus untuk Go, code>GODEBUG=multipathtcp=0/code> saat runtime, atau baris code>godebug/code> di code>go.mod/code>, membuat binary tidak menggunakan opsi tersebut.

Tidak satu pun dari ini yang didukung vendor. Red Hat menyatakan dengan jelas bahwa mereka tidak memiliki mitigasi yang memenuhi standarnya sendiri, yang merupakan kalimat yang lebih berguna daripada daftar solusi sementara yang penuh harapan.

Apa yang sebenarnya diterbitkan Anthropic

Penelitian ini sempit dan spesifik. Model Claude yang belum dirilis, dengan diberi CVE dan target dengan listener MPTCP, menghasilkan rantai yang membocorkan alamat kernel dalam sekitar 48 menit dan mencapai eksekusi perintah kira-kira lima menit kemudian. Anthropic belum menerbitkan eksploit tersebut, dan per 29 Oktober baik vendor maupun catatan CVE belum melaporkan serangan di dunia nyata; kerentanan tersebut tidak ada dalam katalog KEV CISA. Pada 30 Oktober, repositori GitHub pihak ketiga menerbitkan perkakas laboratorium pemicu race dan kebocoran memori — sebuah harness reproduksi, yang tidak sampai pada eksekusi kode penuh.

Kombinasi itulah bagian yang menarik. Kemampuannya diperlihatkan, senjatanya ditahan, dan detail yang memungkinkannya — sifat retry yang mengubah race yang rapuh menjadi andal — tersedia untuk publik dalam bentuk prosa. Siapa pun yang dapat mereproduksi race tersebut kini tahu mengapa hal itu layak untuk terus diupayakan.

Apa yang harus dilakukan minggu ini

• Tambal dan lakukan reboot jika tersedia perbaikan. Perbaikan kernel yang sudah terpasang tetapi belum di-reboot bukanlah perbaikan; verifikasi dengan code>uname -r/code>.

• Jika distribusi Anda tidak memiliki patch — Ubuntu 22.04 hingga 26.10, RHEL 8 hingga 10 — putuskan sekarang apakah Anda akan mengambil live patch dari vendor, beralih ke versi yang sudah diperbaiki, atau menerima paparan tersebut dengan MPTCP dimatikan pada layanan Go.

• Inventarisasi eksposur MPTCP alih-alih mengasumsikan bahwa fitur itu nonaktif. Nilai default berubah di Go, bukan di konfigurasi Anda, dan perubahan pada nilai default tidak terlihat dalam diff konfigurasi.

• Latihlah proses reboot. Perbaikan jenis ini memerlukan restart penuh, dan organisasi yang akan kehilangan waktu paling banyak adalah mereka yang baru mengetahui skenario failover-nya selama jendela pemeliharaan.

Dua pertanyaan yang sebenarnya diangkat oleh CVE ini

Yang pertama adalah tentang pembuatan eksploit, dan ini bukan soal filosofis. Sebuah model menemukan sebuah urutan yang tidak ditemukan oleh banyak peneliti manusia, pada target dengan konfigurasi pemungkin yang spesifik, dalam waktu kurang dari satu jam. Terlepas dari apakah eksploit itu dipublikasikan atau tidak, garis waktu telah berubah: jendela antara adanya pengumuman publik dan eksploit yang berfungsi kini diukur terhadap model-model yang membaca pengumuman tersebut.

Yang kedua adalah tentang apa arti patching ketika vendor tidak dapat melakukan patch. Distribusi yang mengirimi Anda kernel dan kernel yang berisi perbaikan tersebut bukanlah objek yang sama, dan celah di antara keduanya justru merupakan tempat kerentanan ini hidup bagi sebagian besar pembaca postingan ini. OrcaRouter AI Incident Archive mengindeks insiden seperti ini berdasarkan sumber utama, tingkat keparahan, dan keyakinan mereka, yang merupakan versi cerita ini yang layak dipertahankan setelah siklus berita bergerak.

Hal yang tidak boleh dilakukan adalah memasukkan ini ke kategori "tunggu vendor". Halaman vendor sendiri menyatakan belum ada yang perlu ditunggu.

Catatan sumber: mekanisme, rentang terdampak dari kernel 4.4, komit hulu code>e3f33b0a1d89/code>, daftar versi stabil dan panduan mitigasi berasal dari catatan CVE dan advisori distribusi yang dibaca pada 30 Oktober 2026. Peringkat 9,8, 8,1, dan Ubuntu High masing-masing berasal dari tim CVE kernel, Red Hat, dan Canonical. Status patch per distribusi berasal dari DLA-4841-1 dan DSA-6568-1 Debian, halaman CVE Red Hat dan Ubuntu, serta pernyataan vendor pada tanggal yang sama. Linimasa proof-of-concept, angka 48 menit dan lima menit, serta properti percobaan ulang berasal dari riset Anthropic tanggal 27 Oktober, yang menahan eksploit. Repositori lab tanggal 30 Oktober dijelaskan sebagai pihak ketiga dan bukan milik kami.