Tổng hợp về lỗ hổng bảo mật nhân Linux CVE-2026-98432

Chuyện gì đã xảy ra

Ngày 15 tháng 10 năm 2026, CNA của nhân Linux công bố lỗi CVE-2026-98432. Lỗi nằm trong cách nhân xử lý kết nối TCP qua IPv4. Sau khi nhân giải phóng một số dữ liệu tùy chọn IP của yêu cầu kết nối, một lõi CPU khác vẫn có thể đọc vùng nhớ đó. Kẻ tấn công không cần đăng nhập. Chỉ cần gửi gói tin tới một máy chủ nhận kết nối là có thể thử. Anthropic tìm ra và báo cáo lỗi này. Ngày 27 tháng 10, báo cáo nghiên cứu của họ nói rằng họ đã chứng minh được việc thực thi lệnh từ xa với quyền root nhờ lỗi này.

Các con số và sự kiện chính

• Điểm CVSS 3.1 là 9.8 (Nghiêm trọng), do CNA của nhân Linux đưa ra
• Mã CWE-825 (con trỏ hết hạn bị dereference), do Red Hat gán
• Chưa có trong danh sách CISA KEV (tính đến ngày 29 tháng 10 năm 2026)
• Ảnh hưởng: nhân Linux từ 4.4 trở lên, cho đến khi được vá. Các phiên bản trước 4.4 không bị ảnh hưởng
• Các phiên bản đã vá upstream: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 và 7.3

Lỗi hoạt động thế nào

Đường tấn công chính bắt đầu bằng gói TCP SYN (bước đầu tiên khi thiết lập kết nối) có tùy chọn Record Route hoặc Timestamp của IPv4. Nhân lưu các tùy chọn này cho yêu cầu kết nối. Một gói SYN thứ hai cho cùng yêu cầu khiến nhân tạo gói SYNACK trên một lõi CPU khác. Trong lúc đó, kết nối có thể được thiết lập rồi đóng lại, và socket con bị giải phóng. Đoạn mã trả lời vẫn đọc vùng nhớ đã bị giải phóng. CNA cho biết vùng nhớ được tái sử dụng có thể làm lộ dữ liệu nhân cho kẻ tấn công, cho phép ghi ra ngoài vùng được phép, hoặc làm sập nhân. Đường thứ hai dùng socket migration, được bật bằng cài đặt net.ipv4.tcp_migrate_req=1 hoặc một chương trình BPF. Bản vá đổi cách giải phóng bộ nhớ này bằng kfree_rcu(), hàm này chờ đến khi mọi bên đọc xong. IPv6 không nằm trong đường tấn công thứ nhất.

Vì sao điểm số khác nhau

• CNA chấm độ phức tạp tấn công là Thấp, nên điểm 9.8
• SUSE, Oracle, Amazon và Red Hat chấm độ phức tạp là Cao, nên hầu hết nhà phân phối chấm 8.1 (Cao)
• Ubuntu hiển thị 9.8 theo CVSS 3 và 8.3 theo CVSS 4.0

Vì sao điều này quan trọng

Chương trình thử nghiệm (PoC) của Anthropic chạy được trên máy chủ Linux có listener MPTCP (TCP đa đường). Trước tiên, PoC làm lộ một địa chỉ nhân, qua đó phá vỡ cơ chế bảo vệ KASLR. Sau đó, PoC chạy một lệnh shell do kẻ tấn công chọn với quyền root. PoC mất 48 phút để làm lộ địa chỉ và thêm 5 phút để chạy lệnh. Khi race thất bại, chỉ bắt tay (handshake) bị hỏng chứ hệ thống không sập, nên kẻ tấn công có thể thử lại. Quản trị viên nên kiểm tra trạng thái cập nhật của bản phân phối và cài nhân đã vá càng sớm càng tốt.