Kritische Linux-Kernel-TCP-Schwachstelle CVE-2026-98432: Use-after-free im IPv4-Handshake

Was ist passiert

Am 15. Oktober 2026 wurde eine Schwachstelle im TCP/IPv4-Code des Linux-Kernels unter der Bezeichnung CVE-2026-98432 veröffentlicht. Sie hat einen CVSS-Basiswert von 9,8 (kritisch). Eine bestätigte aktive Ausnutzung ist bisher nicht bekannt.

Die Lücke ist ein Use-after-free während des TCP-Handshakes. Nimmt ein Server eine Verbindung an, übergibt der Kernel die IP-Optionen der wartenden Verbindung an den neuen Child-Socket, ohne sie zu kopieren. Wird ein erneut gesendetes SYN für dieselbe Verbindung zeitgleich auf einer anderen CPU verarbeitet, kann der Kernel noch ein SYN-ACK mit diesen Optionen erstellen, obwohl der Child-Socket und damit die Optionen bereits freigegeben wurden. Der Speicher wird dann nach seiner Freigabe in ip_options_build() gelesen.

Ein ähnliches Problem besteht bei der Migration von Request-Sockets, die verwendet wird, wenn net.ipv4.tcp_migrate_req=1 gesetzt ist oder ein Programm BPF_SK_REUSEPORT_SELECT_OR_MIGRATE geladen wurde.

Der Fix sorgt dafür, dass der Kernel diese Options-Strukturen erst nach einer RCU-Grace-Periode freigibt (kfree_rcu()), wie es andere Codepfade bereits tun. Die Patches wurden in die Stable-Kernel-Zweige übernommen; die Distributionen bereiten aktualisierte Kernel-Pakete vor und stellen sie bereit.

Wer ist betroffen

• Linux-Server, die TCP-Verbindungen über IPv4 annehmen, also praktisch alle Web-, Mail-, Datenbank- und Anwendungsserver.
• Systeme mit net.ipv4.tcp_migrate_req=1 oder einem BPF-Programm zur Reuseport-Migration sind zusätzlich dem zweiten Problem ausgesetzt.
• IPv6 ist vom Hauptproblem nicht betroffen. Ein verwandtes Migrationsproblem in IPv6 (nur relevant mit CALIPSO) wird in einem separaten Patch behoben.

Die genauen betroffenen und korrigierten Kernel-Versionen sind in den Quelldaten nicht aufgeführt. Prüfen Sie den Sicherheitshinweis Ihrer Distribution und die unten verlinkten Kernel-Commits.

Was Sie jetzt tun sollten

1. Prüfen Sie den Sicherheits-Tracker Ihrer Distribution (Debian, Ubuntu, RHEL/AlmaLinux/Rocky, SUSE und andere) auf CVE-2026-98432 und notieren Sie die korrigierte Kernel-Paketversion.
2. Installieren Sie das aktualisierte Kernel-Paket, zum Beispiel mit apt update && apt full-upgrade unter Debian/Ubuntu oder dnf update kernel auf RHEL-basierten Systemen.
3. Starten Sie den Server neu, damit der neue Kernel tatsächlich läuft. Wenn Sie einen Live-Patching-Dienst nutzen, bestätigen Sie, dass ein Live-Patch für diese CVE eingespielt wurde.
4. Prüfen Sie nach dem Neustart, ob alle Dienste wieder laufen (Webserver, Datenbank, Mail, Container).
5. Bis das Update eingespielt ist, sollten Sie net.ipv4.tcp_migrate_req auf dem Standardwert 0 belassen, sofern Sie die Einstellung nicht benötigen.
6. Bei gehosteten Servern und VPS, deren Kernel der Anbieter verwaltet, fragen Sie beim Anbieter nach, ob der Fix installiert ist.

So prüfen Sie, ob Sie betroffen sind

• Zeigen Sie den laufenden Kernel mit uname -r an und vergleichen Sie ihn mit der korrigierten Version im Sicherheitshinweis Ihrer Distribution. Ein installierter, aber noch nicht gestarteter Kernel schützt Sie nicht.
• Prüfen Sie die Migrationseinstellung mit sysctl net.ipv4.tcp_migrate_req. Der Wert 1 bedeutet, dass auch das zweite Problem zutrifft.
• Durchsuchen Sie das Kernel-Log nach Abstürzen im Netzwerk-Stack, zum Beispiel mit journalctl -k | grep -iE 'oops|general protection|ip_options_build'. Unerklärliche Kernel-Abstürze oder Neustarts auf öffentlich erreichbaren Servern sollten untersucht werden.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-98432
• https://git.kernel.org/stable/c/11a03ce3c4a62d84c10ccdfe47f8075006498568