פגיעות בליבת לינוקס, CVE-2026-98432, היא מרוץ בהקמת חיבורי TCP ב-IPv4 שעלול לגרום ל-use-after-free. תיקון קיים בגרסאות קרנל יציבות, אבל חלק מההפצות הגדולות עדיין לא פרסמו אותו. נכון ל-29 באוקטובר לא דווח על ניצול בפועל.
| מזהה | CVE-2026-98432 |
|---|---|
| מוצר מושפע | ליבת לינוקס, מגרסה 4.4; IPv6 אינו מושפע |
| חומרה | 9.8 לפי צוות הקרנל; ספקים אחרים: 5.9 עד 8.1 (Amazon 7.0) |
| מנוצל בפועל | לא דווח |
| תיקון | קרנלים יציבים: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3 |
מה קרה
לפי הדיווח, חברת Anthropic מסרה ב-27 באוקטובר שמודל Claude כתב ניצול עובד לפגם: שרשרת שמדליפה כתובת בקרנל, עוקפת KASLR ומריצה פקודה כ-root בשרת עם מאזין multipath TCP. הפרסום אינו כולל קוד ניצול. חוקר של Anthropic מוזכר כמי שדיווח על הפגם.
הדירוג שנוי במחלוקת: הקרנל נתן 9.8, בעוד Red Hat מציגה דירוגים שונים בדף ובייעוץ (5.9 ו-8.1), ו-Oracle ו-SUSE נתנו 8.1.
נקודות לשים לב
- נכון ל-29 באוקטובר תוקנו Debian (trixie ו-bookworm) ו-Amazon Linux 2023; ב-Ubuntu התיקון בעבודה, וב-RHEL 8/9/10 הוא נדחה. RHEL 7 אינו מושפע.
- בדוק את גרסת הקרנל בשרתים החשופים לאינטרנט (
uname -r) ועדכן לקרנל יציב עדכני כשההפצה שלך מספקת אותו. - לא פורסם workaround ש-Red Hat רואה כמתאים; המקורות לא קובעים אם כיבוי MPTCP מפחית סיכון, ולכן אל תסתמך על כך.
- עקוב אחר מעקב ה-CVE של ההפצה שלך, כי הדירוגים והסטטוס עדיין משתנים.
מקורות: The Hacker News · NVD · Anthropic
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
