Een aanvaller lijkt het gehele internet af te scannen op zoek naar Linux-servers met een kritieke TCP-kwetsbaarheid. Dat meldt beveiligingsonderzoeker Marcus Hutchins. Het probleem wordt aangeduid als CVE-2026-98432 en betreft een race condition in de IPv4 TCP stack van de Linux-kernel. Dit maakt remote code execution mogelijk. In het ergste geval kan een aanvaller Linux-servers via het beveiligingslek volledig overnemen.

De CVSS-impactscore van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. AI-bedrijf Anthropic beweert dat het een werkende exploit heeft ontwikkeld. Door het versturen van speciaal geprepareerde packets naar een kwetsbare Linux-server met een multipath TCP listener is het volgens het AI-bedrijf mogelijk om willekeurige commando's als root op de server uit te voeren. Er zijn geen inloggegevens of interactie van gebruikers vereist.

Vooralsnog wordt aangenomen dat misbruik van CVE-2026-98432 alleen mogelijk is als Multipath TCP (MPTCP) in de kernel staat ingeschakeld, alsmede een listening app/service is die een MPTCP socket bindt. Verschillende Linux-distributies hebben in de kernel MPTCP standaard ingeschakeld, waaronder Debian. Daarnaast bindt programmeertaal Go 1.24 en nieuwer MPTCP sockets standaard als de optie in de kernel staat ingeschakeld. Alles wat bovenop Go wordt gebouwd zal de vereiste MPTCP listener aanmaken, aldus Hutchins.

De onderzoeker voerde zelf een online scan uit op poort 443, dat zo'n 2,1 miljoen Linux-servers opleverde die via een MPTCP-verbinding bereikbaar zijn. Een uitgebreidere scan waarbij een volledige TLS-verbinding werd opgezet met MPTCP ingeschakeld leverde bijna 763.000 systemen op. Gezien het grote aantal kwetsbare systemen is er volgens Hutchins een verhoogde kans dat aanvallers een exploit voor de kwetsbaarheid zullen ontwikkelen. Verschillende Linux-distributies hebben inmiddels updates uitgebracht. Linux-distributie Ubuntu kwam deze week onder vuur te liggen omdat het nog altijd geen patches aanbiedt.