CVE-2026-98432: Kritische Linux-Lücke bedroht Server

Eine kritische Sicherheitslücke im Linux-Kernel ermöglicht unter bestimmten Bedingungen Angriffe aus der Ferne. Die als CVE-2026-98432 erfasste Schwachstelle betrifft die Verarbeitung von IPv4-TCP-Verbindungen. Angreifer können dadurch Systeme zum Absturz bringen und unter bestimmten Voraussetzungen eigenen Code mit hohen Berechtigungen ausführen.

Red Hat bewertet die Schwachstelle mit einem CVSS-Wert von 9,8. Sicherheitsforscher haben bereits einen funktionierenden Exploit demonstriert. Für Unternehmen entsteht damit Handlungsbedarf bei Linux-Servern, Cloud-Instanzen und Container-Infrastrukturen. Bestätigte Angriffe außerhalb der Sicherheitsforschung sind bislang nicht bekannt.

Was steckt hinter CVE-2026-98432?

Die Schwachstelle liegt im IPv4-Netzwerk-Subsystem des Linux-Kernels. Ursache ist ein sogenannter Use-after-free-Fehler bei der Verarbeitung gleichzeitig eintreffender TCP-Verbindungsanfragen.

Dabei kann eine Race Condition entstehen. Der Kernel gibt die Strukturen für IP-Optionen frei, obwohl andere Verarbeitungsschritte noch darauf zugreifen. Speziell vorbereitete Netzwerkpakete können diesen Zustand auslösen.

Die möglichen Folgen reichen von einem Systemabsturz über Speicherbeschädigungen bis zur Ausführung fremden Codes. Für einen Angriff sind weder eine vorherige Anmeldung noch eine Benutzerinteraktion erforderlich.

Allerdings hängt die tatsächliche Ausnutzbarkeit von der Kernel-Version und der jeweiligen Systemkonfiguration ab. Red Hat selbst nennt für das wahrscheinlichere Ergebnis, einen Absturz, einen niedrigeren Wert von 5,9. Begründung ist, dass sich das Wettrennen um den Speicherzugriff nur schwer gewinnen lässt. Die technische Komplexität eines erfolgreichen Angriffs variiert deshalb erheblich.

Bereits im September berichtete IT-Dock über frühere Linux-Sicherheitslücken, die nachweislich für Angriffe ausgenutzt wurden. CVE-2026-98432 betrifft einen anderen Kernel-Bereich und eröffnet zusätzliche Angriffsmöglichkeiten.

Welche Linux-Systeme sind betroffen?

Betroffen sind Linux-Kernel ab Version 4.4 sowie die darauf aufbauenden Stable-Zweige bis zu den korrigierten Ausgaben. Grundsätzlich können verschiedene Distributionen betroffen sein, sofern sie den fehlerhaften Code enthalten und noch keine Sicherheitskorrektur übernommen haben.

Red Hat nennt insbesondere folgende Produkte:

• Red Hat Enterprise Linux 8, 9 und 10
• Red Hat OpenShift Container Platform
• Weitere Produkte mit einem betroffenen Red-Hat-Kernel

Auch Cloud-Umgebungen benötigen Aufmerksamkeit. AWS hat am 30. Oktober Kernel-Updates für Amazon Linux 2 und Amazon Linux 2023 veröffentlicht, einschließlich der Extra-Kernel 5.4, 5.10 und 5.15. Für Amazon EKS enthalten die AL2023-Abbilder ab Version v20261031 die Korrektur. Knoten im EKS Auto Mode tauscht AWS selbsttätig aus.

Die Einstufung unterscheidet sich zwischen den Herstellern. Während Red Hat CVSS 9,8 vergibt, bewertet Amazon Linux die Schwachstelle mit 8,1 und damit als wichtig statt kritisch.

Eine betroffene Kernel-Version bedeutet zudem nicht automatisch, dass jeder Server über das Internet angreifbar ist. Entscheidend sind der tatsächliche Patchstand, die Erreichbarkeit und die eingesetzten Netzwerkfunktionen.

Enterprise-Distributionen übernehmen Korrekturen häufig in ältere Kernel-Versionen. Administratoren sollten deshalb nicht allein die angezeigte Versionsnummer bewerten, sondern die jeweiligen Sicherheitshinweise des Herstellers prüfen.

Wie weit reicht der demonstrierte Root-Exploit?

Besondere Aufmerksamkeit erhält CVE-2026-98432 durch eine Veröffentlichung des KI-Unternehmens Anthropic vom 27. Oktober 2026.

Darin beschreibt das Unternehmen, wie ein internes Claude-Forschungsmodell mehrere Sicherheitslücken untersuchte und Exploits entwickelte. Dazu gehörte auch die Schwachstelle im Linux-Kernel.

Bei einem demonstrierten Angriff auf einen Linux-Server mit Multipath-TCP-Listener gelang die Ausführung von Befehlen mit Root-Rechten, ohne jede Interaktion des Opfers. Nach Darstellung von Anthropic benötigte das Modell rund 48 Minuten, um den Speicherschutz KASLR zu überwinden, und weitere fünf Minuten bis zur Shell. Der Versuch lief in einer Laborumgebung.

Zu beachten ist dabei eine Abweichung: Der CVE-Eintrag beschreibt einen Fehler im IPv4-TCP-Code. Die Verbindung zu Multipath TCP stellt bislang allein die Veröffentlichung von Anthropic her.

Der Nachweis zeigt, dass unter geeigneten Voraussetzungen mehr als ein Systemabsturz möglich ist. Eine allgemeine Kompromittierbarkeit sämtlicher betroffener Linux-Server lässt sich daraus jedoch nicht ableiten.

Auch gibt es einen wichtigen Unterschied zwischen einem dokumentierten Forschungsversuch und tatsächlichen Cyberangriffen. AWS erklärte zuletzt, keine Ausnutzung der Schwachstelle in freier Wildbahn zu kennen. In den Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA ist sie ebenfalls nicht aufgenommen.

Welche Updates schützen vor CVE-2026-98432?

Die wirksamste Gegenmaßnahme ist die Installation eines korrigierten Linux-Kernels. Das gilt insbesondere für öffentlich erreichbare Server und Systeme mit geschäftskritischen Aufgaben.

Amazon Linux stellt bereits entsprechende Kernel-Pakete bereit. Nach der Installation ist ein Neustart erforderlich, damit die aktualisierte Kernel-Version aktiv wird.

Red Hat arbeitet laut seinem Sicherheitsbulletin beschleunigt an Korrekturen. Für betroffene Systeme ohne verfügbaren Patch beschreibt der Hersteller vorübergehende Maßnahmen zur Einschränkung bestimmter IPv4-TCP-Pakete. AWS nennt zusätzlich das Abschalten von Multipath TCP über den Kernel-Parameter net.mptcp.enabled=0.

Solche Netzwerkfilter können die Angriffsfläche reduzieren. Sie verhindern eine Ausnutzung jedoch nicht vollständig und können legitime Netzwerkverbindungen beeinträchtigen.

Für IT-Abteilungen ergeben sich vier unmittelbare Aufgaben:

1. Systeme erfassen: Linux-Server, virtuelle Maschinen, Appliances und Kubernetes-Nodes inventarisieren.
2. Patchstatus prüfen: Installierte Kernel-Pakete mit aktuellen Herstellerhinweisen abgleichen.
3. Updates priorisieren: Öffentlich erreichbare und geschäftskritische Systeme zuerst berücksichtigen.
4. Maßnahmen dokumentieren: Updates, Neustarts und vorübergehende Schutzmaßnahmen nachvollziehbar festhalten.

Die Priorisierung ähnelt dem Vorgehen bei anderen kritischen Sicherheitsupdates. Auch der Microsoft Patchday September verdeutlichte, weshalb Angriffsfläche und geschäftliche Bedeutung bei der Patchplanung berücksichtigt werden müssen.

Was bedeutet die Linux-Lücke für Unternehmen?

CVE-2026-98432 betrifft einen grundlegenden Bestandteil zahlreicher IT-Infrastrukturen. Unternehmen sollten deshalb nicht nur klassische Webserver, sondern auch Virtualisierungshosts, Container-Nodes und eingebettete Linux-Systeme berücksichtigen.

Besonders schwierig ist die Bewertung bei Systemen, deren Betrieb externe Dienstleister übernehmen. Verantwortlichkeiten für Kernel-Updates und Neustarts müssen hier eindeutig geklärt sein.

Ein dokumentiertes Schwachstellenmanagement unterstützt zudem die Umsetzung organisatorischer Sicherheitsanforderungen. Der IT-Dock-Beitrag zu NIS2 für Unternehmen erläutert diesen Zusammenhang.

Für CVE-2026-98432 bleibt entscheidend, betroffene Systeme zuverlässig zu identifizieren und verfügbare Sicherheitskorrekturen zeitnah einzuspielen. Die demonstrierte Remote-Ausnutzung unterstreicht die Dringlichkeit, ohne dass bislang eine reale Angriffswelle belegt wäre.

Quellen:
Red Hat, CVE-2026-98432, zuletzt geändert am 30.10.2026
Red Hat, Security Bulletin RHSB-2026-016, 30.10.2026
AWS, Linux Kernel Security Bulletin, 30.10.2026
Amazon Linux, CVE Security Advisory, zuletzt geändert am 30.10.2026
Anthropic, Discovering and exploiting vulnerabilities with Claude, 27.10.2026