Ubuntu werkt nog aan een update voor een kritieke kwetsbaarheid in de TCP-code van de Linux-kernel, zo hebben de ontwikkelaars van de Linux-distributie na online ophef bekendgemaakt. Het Nationaal Cyber Security Centrum (NCSC) noemt het beveiligingslek 'opvallend', omdat het remote en zonder interactie van gebruikers is te misbruiken. Het probleem wordt aangeduid als CVE-2026-98432 en betreft een race condition in de IPv4 TCP stack van de Linux-kernel. Dit maakt remote code execution mogelijk. In het ergste geval kan een aanvaller Linux-servers via het beveiligingslek volledig overnemen.

De CVSS-impactscore van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. AI-bedrijf Anthropic beweert dat het een werkende exploit heeft ontwikkeld. Door het versturen van speciaal geprepareerde packets naar een kwetsbare Linux-server met een multipath TCP listener is het volgens het AI-bedrijf mogelijk om willekeurige commando's als root op de server uit te voeren. Er zijn geen inloggegevens of interactie van gebruikers vereist.

"Hoewel door de complexiteit van misbruik en binnen de bekende distro's aanwezige aanvullende maatregelen, grootschalig misbruik niet waarschijnlijk is, zijn deze kwetsbaarheden in de Linux-kernel toch opvallend, aangezien kwetsbaarheden in de netwerkstacks van de kernel een van de weinige soorten kwetsbaarheden zijn die op afstand en zonder voorafgaande authenticatie zijn te misbruiken, maar wel potentieel de kernel in gevaar brengen", zo laat het NCSC weten.

Debian kwam op 16 oktober met beveiligingsupdates. Voor Ubuntu zijn nog geen patches beschikbaar. Gisteren publiceerde een ontevreden Ubuntu-gebruiker het artikel 'WTF Ubuntu?'. Daarin wordt geklaagd over het feit dat Ubuntu nog altijd geen update beschikbaar heeft gesteld, maar wel beweert dat het kritieke kwetsbaarheden tijdig patcht. Het artikel telt op het moment van schrijven ruim zeshonderd reacties op Hacker News.

Ubuntu is nu met een reactie op de ophef gekomen. De Linux-distributie laat weten dat het aan updates werkt. Voor gebruikers die hun eigen 'kernel acceptatietesten' draaien is er in -proposed pocket een update beschikbaar. Dit is de test/staging repository van Ubuntu. Wanneer de fix voor CVE-2026-98432 als normale patch beschikbaar komt is nog niet bekend.