Mit CVE-2026-98432 wurde eine kritische Schwachstelle im IPv4/TCP-Stack des Linux-Kernels veröffentlicht. Die Schwachstelle wird mit einem CVSS-v3.1-Basiswert von 9.8 bewertet und kann über Netzwerkverkehr ohne Authentifizierung ausgelöst werden. Betroffen sind zahlreiche Linux-Distributionen mit verwundbaren Kernel-Versionen, darunter Red Hat Enterprise Linux, OpenShift, Debian, Ubuntu und SUSE Linux Enterprise. Betreiber produktiver Linux-Infrastrukturen sollten verfügbare Sicherheitsupdates zeitnah bewerten und einplanen.
Technischer Hintergrund
Die Ursache liegt in einer Use-after-Free-Schwachstelle innerhalb des IPv4-Netzwerk-Subsystems des Linux-Kernels. Durch eine Race Condition bei der Verarbeitung von TCP-Verbindungsanfragen können Speicherbereiche für TCP-Optionen freigegeben werden, obwohl diese noch von anderen Prozessen oder CPU-Kernen verwendet werden.
Der Fehler tritt bei der Verarbeitung retransmittierter TCP-SYN-Anfragen sowie bei bestimmten Socket-Migrationspfaden auf. Die Korrektur ersetzt die bisherige Speicherfreigabe mittels kfree() durch eine RCU-basierte Freigabe (kfree_rcu()), um konkurrierende Zugriffe sicher zu behandeln.
Red Hat bewertet die Schwachstelle als kritisch und weist darauf hin, dass ein nicht authentifizierter Angreifer über regulären IPv4-TCP-Verkehr Kernel-Speicherkorruption oder einen Systemabsturz auslösen kann.
Auszug betroffener Linux-Distributionen und Versionen
Red Hat
Red Hat führt folgende Produkte offiziell als betroffen auf:
| Produkt | Status |
|---|---|
| Red Hat Enterprise Linux 7 | Nicht betroffen |
| Red Hat Enterprise Linux 8 | Betroffen |
| Red Hat Enterprise Linux 9 | Betroffen |
| Red Hat Enterprise Linux 10 | Betroffen |
| Red Hat OpenShift Container Platform 4 | Betroffen |
| Red Hat OpenShift Container Platform 5 | Betroffen |
Debian
Debian hat bereits Sicherheitsupdates veröffentlicht. [security-t…debian.org]
| Debian-Version | Behobene Version |
|---|---|
| Debian 12 (Bookworm) | 6.1.190-1 |
| Debian 13 (Trixie) | 6.12.113-1 |
| Debian Sid (Unstable) | 7.2.10-1 oder neuer |
Ubuntu
| Ubuntu-Version | Status | Geplanter Fixstand |
|---|---|---|
| Ubuntu 26.10 | Verwundbar | 7.3.0-10.10 (Fix in Vorbereitung) |
| Ubuntu 26.04 LTS | Verwundbar | 7.0.0-43.43 (Fix in Vorbereitung) |
| Ubuntu 24.04 LTS | Verwundbar | 6.8.0-149.149 (Fix in Vorbereitung) |
| Ubuntu 22.04 LTS | Verwundbar | 5.15.0-203.213 (Fix in Vorbereitung) |
| Ubuntu 20.04 LTS | Verwundbar | Fix noch nicht veröffentlicht |
| Ubuntu 18.04 LTS | Verwundbar | Fix noch nicht veröffentlicht |
| Ubuntu 16.04 LTS | Verwundbar | Fix noch nicht veröffentlicht |
| Ubuntu 14.04 LTS | Nicht betroffen | – |
SUSE Linux Enterprise
SUSE führt CVE-2026-98432 in seiner Security-Datenbank und bewertet die Schwachstelle als relevant für ausgewählte Linux-Produkte. Betreiber von SUSE Linux Enterprise Server (SLES), SUSE Linux Enterprise Micro und openSUSE-Umgebungen sollten die offiziellen SUSE Security Advisories auf Betroffenheit, verfügbare Updates und produktspezifische Handlungsempfehlungen prüfen.
Auswirkungen und Risiko
Die Schwachstelle ist über das Netzwerk erreichbar und erfordert weder Authentifizierung noch Benutzerinteraktion. Der veröffentlichte CVSS-Vektor lautet:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Red Hat beschreibt als primäre Auswirkungen:
- Systemabstürze (Denial of Service)
- Kernel-Speicherkorruption
- Auslösung über regulären IPv4-TCP-Netzwerkverkehr möglich
Zum Zeitpunkt der Veröffentlichung liegt keine offizielle Bestätigung einer aktiven Ausnutzung von CVE-2026-98432 vor. Die Schwachstelle wird derzeit nicht im Known Exploited Vulnerabilities (KEV) Catalog der US Cybersecurity and Infrastructure Security Agency (CISA) geführt. Auch die National Vulnerability Database (NVD) enthält bislang keine Hinweise auf bestätigte Angriffe in freier Wildbahn. [nvd.nist.gov]
Fixed Releases und Maßnahmen
Die Fehlerkorrektur wurde in folgende Linux-Stable-Zweige übernommen:
| Kernel-Zweig | Fix enthalten ab |
|---|---|
| 5.10.x | 5.10.272 |
| 5.15.x | 5.15.223 |
| 6.1.x | 6.1.190 |
| 6.6.x | 6.6.159 |
| 6.12.x | 6.12.113 |
| 6.18.x | 6.18.56 |
| 7.2.x | 7.2.10 |
| 7.3.x | 7.3 |
Red Hat empfiehlt die zeitnahe Installation der bereitgestellten Kernel-Updates. Als temporäre Risikoreduzierung beschreibt Red Hat zusätzlich das Filtern eingehender IPv4-Pakete mit IP-Optionen. Diese Maßnahme ersetzt jedoch kein Sicherheitsupdate. [access.redhat.com]
Handlungsempfehlungen
- Öffentlich erreichbare Linux-Systeme und TCP-Dienste identifizieren.
- Kernel-Versionen mit den veröffentlichten Fixständen und Hersteller-Advisories abgleichen.
- Verfügbare Sicherheitsupdates zeitnah testen und priorisiert einspielen.
- OpenShift-, Kubernetes-, Container- und Virtualisierungsplattformen besonders berücksichtigen.
- Kritische Infrastruktur wie Webserver, Reverse Proxys sowie DNS-, DHCP- und RADIUS-Dienste priorisieren.
- Nach Kernel-Updates einen Neustart durchführen und die aktive Kernel-Version verifizieren.
- Hersteller-Advisories von Red Hat, Debian, SUSE und Ubuntu auf neue Updates und Errata überwachen.
Fazit
CVE-2026-98432 gehört mit einem CVSS-v3.1-Basiswert von 9.8 zu den schwerwiegendsten aktuell veröffentlichten Linux-Kernel-Schwachstellen. Die Schwachstelle ist über IPv4/TCP-Netzwerkverkehr erreichbar und erfordert weder Authentifizierung noch Benutzerinteraktion. Dadurch ergibt sich ein breites potenzielles Angriffsfeld für Linux-basierte Server- und Infrastrukturplattformen.
Für Red Hat Enterprise Linux, OpenShift, Debian, Ubuntu und SUSE Linux Enterprise liegen inzwischen offizielle Herstellerinformationen beziehungsweise Sicherheitsbewertungen vor. Betreiber sollten die Betroffenheit ihrer Systeme anhand der jeweiligen Hersteller-Advisories prüfen und verfügbare Kernel-Updates entsprechend priorisieren. Besonders relevant ist dies für öffentlich erreichbare Server, Container-Plattformen sowie geschäftskritische Infrastruktur- und Netzwerkdienste.
Quellen
- CVE Record (MITRE)
- National Vulnerability Database (NIST)
- Red Hat CVE Database
- Red Hat Security Bulletin RHSB-2026-016
- Debian Security Tracker
- SUSE Security Database
- Ubuntu Security Notice
- Linux Kernel Security CVE Record
Oliver Gill