Kritikus távoli sebezhetőség fenyegeti a Linux rendszereket
# CVE-2026-98432: kritikus sérülékenység a Linux kernel TCP-hálózatkezelésében – távoli támadások és a javítás lehetőségei
Egy régóta jelen lévő memóriakezelési hiba került napvilágra a Linux kernel IPv4 TCP-alrendszerében. A CVE-2026-98432 azonosítójú sérülékenység bizonyos körülmények között lehetővé teheti, hogy egy távoli, hitelesítetlen támadó összeomlasszon egy Linux-rendszert, memóriatartalmat szerezzen meg, vagy akár rendszergazdai jogosultsággal hajtson végre kódot. A probléma különösen az internet felől elérhető szerverek üzemeltetői számára jelent biztonsági kockázatot.
A sérülékenységet a Linux kernel fejlesztői 2026. október 15-én hozták nyilvánosságra. A Red Hat kritikus besorolást és 9,8-as CVSS 3.1 pontszámot rendelt hozzá. A probléma jelentőségét növeli, hogy nem egy külön telepített alkalmazásban, hanem közvetlenül az operációs rendszer hálózati alrendszerében található.
A sérülékenység azonosítója CVE-2026-98432, és a use-after-free típusú memóriakezelési hibák közé tartozik. Ezek a hibák különösen veszélyesek a kernelben, mert a hibás memóriaműveletek a rendszer legmagasabb jogosultsági szintjén történnek.
Hogyan működik a sérülékenység?
A Linux kernel feladata többek között a hálózati kapcsolatok kezelése. Amikor egy kliens TCP-kapcsolatot szeretne létrehozni egy szerverrel, a kapcsolat felépítése egy háromlépcsős folyamaton, az úgynevezett TCP three-way handshake-en keresztül történik.
A kliens először egy SYN-csomagot küld, amelyre a szerver SYN-ACK válasszal reagál. Ezt követően a kliens egy ACK-csomaggal fejezi be a kapcsolat létrehozását.
Normál körülmények között ez a folyamat rendkívül gyors, és egy nagyobb forgalmú szerveren másodpercenként akár több ezer alkalommal is végbemehet.
A CVE-2026-98432 sérülékenység akkor jelentkezhet, amikor a kernel több processzormagon párhuzamosan dolgozza fel ugyanahhoz a kapcsolatkéréshez tartozó eseményeket. Bizonyos időzítési körülmények között az egyik végrehajtási szál felszabadíthat egy memóriaterületet, miközben egy másik még használja annak tartalmát.
Ez az úgynevezett use-after-free, röviden UAF állapot.
A hiba az IPv4-opciók kezeléséhez kapcsolódik. Az érintett függvények között szerepel a tcp_v4_syn_recv_sock(), az ip_options_build() és a tcp_v4_reqsk_destructor() is.
A problémát különösen a TCP-kapcsolatkérések újraküldése és bizonyos socketmigrációs műveletek idézhetik elő.
A támadónak a versenyhelyzetet rendkívül pontos időzítéssel kell kihasználnia. Ez technikailag összetett feladat, de nem jelenti azt, hogy a sérülékenység kizárólag helyi hozzáféréssel használható ki.
Miért különösen veszélyes egy kernelhibából eredő támadás?
A Linux kernel a teljes operációs rendszer működésének alapja. A felhasználói alkalmazásokkal ellentétben a kernel közvetlen hozzáféréssel rendelkezik a rendszer memóriájához, folyamataihoz és hardvererőforrásaihoz.
Amennyiben egy támadó képes a kernelen belüli memóriakezelést manipulálni, annak következményei súlyosabbak lehetnek egy hagyományos alkalmazáshibánál.
A legközvetlenebb veszély a rendszer összeomlása. Egy sikeresen kiváltott kernelhiba a teljes operációs rendszer működését megszakíthatja, ami szolgáltatáskiesést eredményezhet.
A memóriasérülés ugyanakkor más támadási lehetőségeket is megnyithat. Megfelelő feltételek mellett lehetőség nyílhat a kernelmemória tartalmának kiszivárogtatására vagy a végrehajtás menetének módosítására.
Ez utóbbi különösen súlyos, mert elméletileg lehetővé teheti a támadó számára, hogy a Linux-rendszer legmagasabb jogosultsági szintjén hajtson végre utasításokat.
A sérülékenységhez nincs szükség érvényes SSH-, webes vagy más felhasználói hitelesítő adatokra. A támadási felület már a beérkező TCP-kapcsolatok feldolgozásakor megjelenik.
Mesterséges intelligencia és a távoli root-hozzáférés demonstrációja
A CVE-2026-98432 különös figyelmet kapott az Anthropic 2026. október 27-én publikált biztonsági kutatása miatt.
A vállalat beszámolója szerint egy fejlett Claude kutatási modell segítségével sikerült olyan exploitot kidolgozni, amely Multipath TCP-t használó Linux-rendszereken távoli, hitelesítés nélküli parancsvégrehajtást tett lehetővé root jogosultsággal.
A bemutatott támadási folyamat először a kernelmemória címeinek megismerésére törekedett, megkerülve ezzel a Kernel Address Space Layout Randomization, vagyis KASLR védelmi mechanizmusának egy részét.
A második szakaszban a kutatók a memóriakezelési hibát kihasználva módosították a kernel végrehajtási folyamatát.
A publikáció szerint a demonstrált támadás több lépésben, ismételt próbálkozásokkal működött.
Fontos ugyanakkor, hogy az Anthropic kutatói eredményét ne tekintsük automatikusan minden Linux-környezetre érvényesnek. A CloudLinux kernelcsapata saját vizsgálatai során nem tudta reprodukálni a bemutatott távoli root-kihasználást.
A teljes exploitkódot nem tették nyilvánossá, és a 2026. november elején rendelkezésre álló gyártói jelentések nem számoltak be igazolt, éles környezetben végrehajtott támadásokról.
A sérülékenység tehát bizonyítottan létezik, a távoli kódfuttatásról pedig konkrét kutatói demonstráció áll rendelkezésre, de annak általános kihasználhatósága környezetfüggő.
Mely Linux-rendszereket érinti a CVE-2026-98432?
A hibás működés alapjául szolgáló kód a Linux kernel 4.4-es verziójában jelent meg, ezért számos későbbi kernelágban is megtalálható volt.
Az érintettség nem korlátozódik egyetlen Linux-disztribúcióra. A Red Hat Enterprise Linux, az AlmaLinux, a CloudLinux, az Ubuntu és a Debian különböző verziói mellett más Linux-alapú rendszerek is érintettek lehetnek.
A Red Hat hivatalosan megerősítette a RHEL 8, 9 és 10 érintettségét, beleértve a kapcsolódó OpenShift-környezeteket is.
A CloudLinux a 8-as, 9-es és 10-es főverzióknál szintén megerősítette a sérülékenységet. A hagyományos 3.10-es kernelt használó CloudLinux 7 ugyanakkor nem tartalmazza az érintett kódot.
Különösen fontos, hogy a kernel verziószáma önmagában nem mindig elegendő a biztonsági állapot megállapításához.
A vállalati Linux-disztribúciók gyakran visszaportolják a biztonsági javításokat egy korábbi verziószámot viselő kernelbe. Emiatt két hasonló verziójú kernel eltérő biztonsági állapotban lehet.
A pontos érintettséget minden esetben a disztribúció gyártói biztonsági közleményei és a ténylegesen futó kernel alapján kell megállapítani.
Megvéd a Multipath TCP kikapcsolása?
A kutatók által bemutatott távoli root-exploit egyik fontos feltétele a Multipath TCP, röviden MPTCP használata volt.
Az MPTCP lehetővé teszi, hogy egy logikai TCP-kapcsolat több hálózati útvonalon keresztül működjön. A technológia például több hálózati kapcsolat együttes használatakor vagy kapcsolatváltáskor lehet hasznos.
Számos Linux-rendszeren az MPTCP alapértelmezetten ki van kapcsolva.
A beállítás ellenőrizhető a következő paranccsal:
sysctl net.mptcp.enabled
Amennyiben az eredmény 0, az MPTCP globálisan le van tiltva.
Ez kedvező biztonsági körülmény lehet, de nem jelenti a CVE-2026-98432 teljes megszüntetését.
A sérülékenység ugyanis a hagyományos TCP-kapcsolatok kezelésében is jelen van. A retransmission, vagyis az újraküldött kapcsolatkérések feldolgozása külön versenyhelyzetet hozhat létre.
Hasonlóképpen a net.ipv4.tcp_migrate_req paraméter kikapcsolása is csak bizonyos kihasználási feltételeket szüntet meg.
Egy biztonságosnak tűnő kernelparaméter tehát önmagában nem helyettesítheti a tényleges sérülékenységjavítást.
Mi a helyzet az IPv6-tal?
A sérülékenység elsődlegesen az IPv4 TCP-kapcsolatainak kezeléséhez kötődik.
A Linux kernel fejlesztőinek műszaki leírása szerint az IPv6-kapcsolatok létrehozásakor az érintett opciók kezelése eltérő módon történik, ezért az elsőként ismertetett memóriakezelési hiba az IPv6-kapcsolatfelépítést nem érinti ugyanilyen formában.
Ugyanakkor a socketmigrációhoz kapcsolódó memóriakezelésben az IPv6 esetében is azonosítottak egy hasonló problémát, amely külön javítást igényel.
Ezért nem lenne helyes azt állítani, hogy az IPv6 használata általános megoldást jelent minden kapcsolódó kernelproblémára.
Hogyan javítják a Linux kernel fejlesztői a hibát?
A hiba kijavítása viszonylag kis kódmódosítást igényel, annak ellenére, hogy a lehetséges következmények rendkívül súlyosak.
Az eredeti megvalósítás bizonyos memóriaterületeket a kfree() függvénnyel szabadított fel.
A javítás ehelyett a kfree_rcu() mechanizmust használja, amely figyelembe veszi a Linux kernel Read-Copy-Update, vagyis RCU szinkronizációs működését.
Az RCU lehetővé teszi, hogy a párhuzamosan működő olvasók biztonságosan hozzáférjenek az adatokhoz, miközben a felszabadítás csak akkor történik meg, amikor a korábban megkezdett érintett olvasási műveletek már befejeződhettek.
A módosítás lényege tehát nem a TCP működésének átalakítása, hanem a memóriaterületek biztonságos életciklus-kezelése.
A javítást a Linux kernel karbantartói több támogatott kernelágba is visszaportolták. A disztribúciók azonban saját csomagkiadási és tesztelési folyamataikon keresztül juttatják el azt az üzemeltetőkhöz.
KernelCare, livepatch és a szerverek újraindítása
A hagyományos kernelfrissítés során a javított kernelcsomag telepítése után rendszerint újra kell indítani a szervert, hogy az új kernel ténylegesen használatba kerüljön.
Ez nagy rendelkezésre állást igénylő rendszereknél különösen körültekintő tervezést követel.
A livepatch technológiák, például a KernelCare, bizonyos kernelhibákat újraindítás nélkül képesek javítani. Ilyenkor a módosítás a futó kernel érintett kódrészleteire kerül alkalmazásra.
Ennek előfeltétele azonban, hogy az adott sérülékenységhez és kernelverzióhoz már rendelkezésre álljon megfelelő livepatch.
A CloudLinux 2026. október 30-i tájékoztatása alapján a CVE-2026-98432 javításához tartozó KernelCare livepatch még előkészítés alatt állt. Ezzel párhuzamosan több rendszerhez már megjelentek javított kernelcsomagok, eltérő kiadási és terjesztési fázisokban.
Az Amazon Linux esetében szintén elérhetővé váltak a javításokat tartalmazó kernelcsomagok.
A javítás állapota tehát disztribúciónként és kerneláganként eltérhet, ezért mindig az adott gyártó legfrissebb közleményéből kell kiindulni.
Fontos üzemeltetési részlet, hogy egy működő livepatch-mechanizmus önmagában nem jelenti az összes ismert CVE javítását. Ellenőrizni kell, hogy a konkrét sérülékenységhez tartozó javítás valóban alkalmazásra került-e.
Van lehetőség ideiglenes védekezésre?
A sérülékenység kezelésére a Red Hat egy ideiglenes nftables-alapú hálózati szűrési eljárást is közzétett.
A megoldás célja az IPv4-opciókat tartalmazó bejövő TCP-csomagok eldobása, ezzel csökkentve annak lehetőségét, hogy a támadó elérje a sérülékeny kódútvonalat.
Ez azonban nem tekinthető teljes körű javításnak.
Az IPv4-opciók és a TCP-opciók különböző fejlécmezőkben találhatók, így a szűrés nem a szokásos TCP-opciók általános letiltását jelenti. Ugyanakkor egyes speciális hálózati alkalmazások működését befolyásolhatja.
A Red Hat ezért külön hangsúlyozza, hogy az ilyen szabályokat az adott hálózat forgalmi sajátosságainak figyelembevételével, lehetőség szerint tesztkörnyezetben kell ellenőrizni.
A hálózati hozzáférés korlátozása, a szükségtelen nyilvános szolgáltatások megszüntetése és a megfelelő szegmentáció további védelmi réteget biztosíthat.
Ezek az intézkedések azonban kockázatcsökkentő lépések, nem pedig a sérülékenység végleges kijavításai.
Mit tanít ez az eset a Linux-szerverek biztonságáról?
A CVE-2026-98432 jól mutatja, hogy az operációs rendszerek biztonsága nem kizárólag az alkalmazások, felhasználói jogosultságok és tűzfalszabályok megfelelő konfigurációján múlik.
Egy olyan alapvető protokoll, mint a TCP, rendkívül összetett működést igényel a modern, többprocesszoros rendszereken. A párhuzamos feldolgozás során fellépő apró időzítési eltérések olyan memóriakezelési hibákat eredményezhetnek, amelyek akár éveken át észrevétlenek maradnak.
A mostani sérülékenység egy másik fontos változásra is rávilágít: a mesterséges intelligencia egyre nagyobb szerepet kaphat a sebezhetőségek kutatásában és a kihasználási módszerek kidolgozásában. Ez egyszerre segítheti a hibák gyorsabb feltárását és növelheti a védekezéssel szemben támasztott követelményeket.
A rendszergazdák és infrastruktúra-üzemeltetők számára a legfontosabb tanulság az, hogy a kernelfrissítéseket és biztonsági közleményeket a teljes rendszer életciklusán keresztül követni kell.
A CVE-2026-98432 végleges kezelése a sérülékenység javítását tartalmazó kernel vagy ellenőrzött livepatch alkalmazása. Amíg ez nem történik meg, az ideiglenes hálózati védelmi megoldások csökkenthetik a kockázatot, de nem tekinthetők azonos értékűnek a tényleges hibajavítással.
---
Hivatalos források
A cikk a 2026. november 2-ig elérhető nyilvános információkon alapul.
Linux kernel CVE-bejelentés – 2026. október 15.
Red Hat – CVE-2026-98432 biztonsági adatlap
Red Hat – RHSB-2026-016 biztonsági közlemény
CloudLinux – CVE-2026-98432: érintettség és javítások
Anthropic – Discovering and exploiting vulnerabilities with Claude