In questo articolo Indice dei contenuti 2 sezioni
Una vulnerabilità critica nel kernel Linux sta tenendo con il fiato sospeso amministratori di sistema, provider cloud e responsabili della sicurezza. La falla, catalogata come CVE-2026-98432, ha ricevuto un punteggio di 9,8 su 10 secondo CVSS 3.1 e consente a un aggressore remoto, senza alcuna autenticazione, di compromettere la memoria del kernel e in certe condizioni di eseguire comandi con privilegi root. Secondo Marcus Hutchins i server potenzialmente esposti sarebbero oltre 2 milioni e le scansioni da parte dei malintenzionati ormai avvengono di continuo.
L’origine del problema risale a una modifica introdotta con il kernel Linux 4.4, pubblicato a gennaio 2016. Il difetto è quindi rimasto nel codice per più di dieci anni, finché le ricerche più recenti non ne hanno dimostrato la reale pericolosità. Il 27 ottobre 2026 Anthropic ha descritto un exploit sviluppato con una versione sperimentale di Claude, una catena in grado di ottenere una shell root via rete senza che la vittima debba fare nulla. Da lì in avanti gli eventi hanno subito un’accelerazione: correzioni nel codice, bollettini dei produttori e aggiornamenti per molte distribuzioni. Al 5 novembre 2026 la questione principale è capire quali sistemi abbiano davvero ricevuto un kernel corretto e quali invece girino ancora su versioni vulnerabili.
Come funziona la falla nelle connessioni TCP
Il difetto riguarda la gestione delle connessioni TCP su IPv4 e in particolare una condizione di concorrenza che si manifesta nella fase iniziale della comunicazione. Il classico handshake prevede tre passaggi: il client invia SYN, il server risponde con SYN ACK e il client chiude l’apertura con ACK. Durante questa procedura Linux conserva alcune informazioni in una struttura temporanea chiamata requestsock e, se il pacchetto SYN contiene opzioni nell’intestazione IPv4, il kernel deve tenerle a disposizione anche mentre prepara le risposte.
I guai cominciano quando due CPU lavorano nello stesso momento sulla stessa richiesta. Una può liberare la memoria con le opzioni IPv4 mentre l’altra la sta ancora leggendo per costruire il pacchetto di risposta. Si genera così una condizione use after free, con il kernel che accede a memoria già rilasciata. Le conseguenze vanno dagli arresti anomali alla fuga di dati presenti in memoria, fino alla corruzione di strutture interne. Un attaccante abbastanza preparato può sfruttare il tutto per arrivare all’esecuzione di codice.
Patch disponibili e il caso Ubuntu
Il bug interessa i kernel dalla versione 4.4 in poi, ma diverse famiglie più recenti hanno già ricevuto la correzione. Le prime versioni corrette dei principali rami upstream sono Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 e 7.2.10, e la patch figura anche nella serie 7.3. Va però ricordato che Debian, Ubuntu, Red Hat e altre distribuzioni possono integrare le correzioni di sicurezza in kernel con numerazioni più vecchie tramite backport. Un sistema basato su Linux 5.14 non è dunque per forza vulnerabile, per questo conta la versione esatta distribuita dal produttore insieme al relativo advisory.
Su Ubuntu il quadro è meno lineare. Il 2 novembre Canonical ha spiegato che i kernel corretti per Ubuntu 22.04 LTS e le versioni successive si trovano, per diversi rami, nel repository proposed, quello destinato ai test prima del rilascio ordinario. Esiste però una discrepanza: la scheda ufficiale della vulnerabilità, aggiornata il 4 novembre, segnala ancora lavori in corso su vari pacchetti, compresi alcuni di Ubuntu 26.10. Canonical sta verificando gli aggiornamenti su oltre 2.000 dispositivi e server certificati prima di spostarli nei canali standard. Per chi gestisce macchine in produzione è sconsigliato abilitare l’intero repository proposed solo per ottenere il nuovo kernel, meglio controllare il metapacchetto specifico e le dipendenze.
Per Debian la situazione appare più chiara, con pacchetti corretti già nei repository di sicurezza per Bookworm, Trixie, Forky e Sid. AlmaLinux ha rilasciato le patch in produzione il 2 novembre, Red Hat ha pubblicato aggiornamenti per RHEL 8, 9 e 10 con disponibilità variabile, mentre alcuni componenti di OpenShift risultano ancora interessati. Rocky Linux ha diffuso advisory dedicati e Amazon conferma le correzioni per Amazon Linux 2 e Amazon Linux 2023. SUSE ha pubblicato numerosi bollettini, ma la copertura cambia tra prodotti e Service Pack.
Dove la patch non è ancora installabile, Red Hat suggerisce una mitigazione temporanea con nftables che blocca i pacchetti TCP IPv4 contenenti opzioni nell’intestazione IP. Il controllo ip hdrlength maggiore di 5 individua le intestazioni più lunghe dei normali 20 byte e scarta il traffico sospetto. Il filtro può però interferire con applicazioni che usano legittimamente le opzioni IPv4 e non resta attivo dopo il riavvio se non viene integrato nella configurazione firewall esistente.
Fonte: TecnoAndroid