Il 30 ottobre 2026, Lawrence Abrams ha riportato su bleepingcomputer.com una vulnerabilità critica nel kernel Linux, identificata come CVE-2026-98432, che consente a un attaccante non autenticato di eseguire comandi come root su server Linux con listener Multipath TCP (MPTCP). La vulnerabilità, classificata con un punteggio di severità di 9.8 su 10 dal Linux kernel CVE team, è un bug di tipo use-after-free nel codice di rete TCP IPv4 del kernel Linux.
La falla, nota come "SYNchronicity", colpisce server con listener TCP ordinari, ma la dimostrazione pubblica di esecuzione remota di codice è stata effettuata solo su server con listener MPTCP. Il bug riguarda tutte le versioni del kernel Linux supportate a partire dalla versione 4.4, inclusi kernel personalizzati e quelli in distribuzioni Linux colpite come Ubuntu, Red Hat Enterprise Linux (RHEL) e Rocky Linux.
Dettagli tecnici della vulnerabilità
La vulnerabilità deriva da una condizione di race nella gestione delle richieste di connessione TCP. Come descritto nel Linux kernel advisory, "tcp_v4_syn_recv_sock() transfers ownership of ireq->ireq_opt to the child socket (newinet->inet_opt) without copying it." Questo causa una potenziale condizione di use-after-free, in cui un puntatore riutilizzato può essere manipolato per eseguire codice arbitrario.
Red Hat classifica la vulnerabilità come potenziale problema di denial-of-service, con un punteggio di severità di 5.9, a causa della complessità di sfruttamento. Tuttavia, una ricerca di Anthropic ha dimostrato che la falla può essere sfruttata per esecuzione remota di codice in condizioni specifiche, ottenendo l'esecuzione remota di codice come root in circa 53 minuti.
Impatto su server TCP e MPTCP
MPTCP non è abilitato di default in molte applicazioni. Tuttavia, alcune software lo attivano automaticamente, esponendo i sistemi alla vulnerabilità. A partire dalla versione 1.24, Go abilita MPTCP di default per i listener TCP su Linux se il kernel supporta la funzione, colpendo potenzialmente milioni di applicazioni scritte in Go.
Stato delle patch e aggiornamenti di sicurezza
La vulnerabilità è stata corretta nel kernel Linux upstream e retroportata a rami di kernel mantenuti, ma gli aggiornamenti di sicurezza non sono ancora stati distribuiti a tutte le distribuzioni Linux interessate. Il tracker di sicurezza Canonical elenca Ubuntu 22.04 LTS, 24.04.