اکسپلویت هسته لینوکس حملات ریشه از راه دور بر روی سرورهای MPTCP را فعال می کند

محققان امنیتی در Anthropic یک اکسپلویت برای یک آسیب‌پذیری مهم هسته لینوکس ایجاد کرده‌اند که به مهاجمان احراز هویت نشده اجازه می‌دهد تا از راه دور دستورات را به‌عنوان ریشه روی سرورهایی که شنونده‌های Multipath TCP (MPTCP) دارند اجرا کنند.

این نقص که به‌عنوان CVE-2026-98432 ردیابی می‌شود، بر اتصالات TCP معمولی نیز تأثیر می‌گذارد، اگرچه اجرای کد از راه دور به طور عمومی در سرورهای بدون شنونده MPTCP نشان داده نشده است.

Multipath TCP (MPTCP) یک ویژگی TCP است که به یک اتصال واحد اجازه می دهد از چندین مسیر شبکه به طور همزمان برای بهبود عملکرد و قابلیت اطمینان استفاده کند. معمولا در محیط هایی که دستگاه ها دارای چندین اتصال شبکه هستند، مانند شبکه های Wi-Fi و سلولی استفاده می شود.

CVE-2026-98432 یک آسیب‌پذیری بدون استفاده در کد شبکه IPv4 TCP هسته است که امتیاز شدت 9.8 از 10 را از تیم CVE کرنل لینوکس دریافت کرده است.

این آسیب‌پذیری هسته‌های لینوکس را که به نسخه 4.4 بازمی‌گردد، از جمله توزیع‌های پرکاربرد مانند Ubuntu، Red Hat Enterprise Linux (RHEL) و Rocky Linux را تحت تأثیر قرار می‌دهد.

بر اساس توصیه‌های هسته لینوکس، این آسیب‌پذیری از شرایط مسابقه در نحوه رسیدگی به درخواست‌های اتصال TCP توسط هسته ناشی می‌شود که به طور بالقوه باعث ایجاد شرایط استفاده پس از آزاد شدن می‌شود.

در توصیه نامه آمده است: "tcp_v4_syn_recv_sock() مالکیت ireq->ireq_opt را بدون کپی کردن به سوکت فرزند (newinet->inet_opt) منتقل می کند."

"یک cpu دیگر می‌تواند همزمان یک SYN ارسال شده را برای همان سوکت درخواست پردازش کند و یک SYNACK را از tcp_check_req() ارسال کند. ip_options_build() سپس opt->optlen را دوبار بخوانید."

هنگامی که net.ipv4.tcp_migrate_req فعال است یا از یک برنامه BPF_SK_REUSEPORT_SELECT_OR_MIGRATE استفاده می شود، مشکل مشابهی در هنگام انتقال سوکت درخواست TCP رخ می دهد.

اگرچه راه‌اندازی این آسیب‌پذیری نیازی به احراز هویت ندارد، اما Red Hat می‌گوید که بهره‌برداری از شرایط مسابقه پیچیده‌تر از ارسال یک بسته شبکه مخرب است.

Red Hat این آسیب‌پذیری را به‌عنوان یک مشکل بالقوه انکار سرویس که می‌تواند باعث خرابی هسته شود، طبقه‌بندی می‌کند و به آن نمره شدت پایین‌تر 5.9 می‌دهد زیرا بهره‌برداری پیچیده است.

با این حال، محققان Anthropic نشان دادند که این آسیب‌پذیری می‌تواند برای اجرای کد از راه دور تحت شرایط خاص مورد سوء استفاده قرار گیرد.

یک گزارش Anthropic توضیح داد که یک مدل کلاود AI منتشر نشده، یک اکسپلویت ایجاد کرد که تصادفی‌سازی طرح فضای آدرس هسته (KASLR) را دور زد و دستورات دلخواه را به عنوان ریشه روی سرور لینوکس اجرا کرد که یک شنونده MPTCP را اجرا می‌کرد.

به گفته Anthropic، این اکسپلویت حدود 53 دقیقه طول کشید تا به اجرای کد ریشه از راه دور برسد، که نشان می‌دهد این آسیب‌پذیری می‌تواند برای بیش از حملات انکار سرویس مورد سوء استفاده قرار گیرد.

در حالی که MPTCP معمولا به طور پیش فرض در برنامه ها فعال نمی شود، برخی از نرم افزارها آن را به طور خودکار فعال می کنند.

با شروع Go 1.24، زبان برنامه نویسی MPTCP را به طور پیش فرض برای شنوندگان TCP در لینوکس فعال می کند تا زمانی که هسته از این ویژگی پشتیبانی کند. به همین دلیل، برخی از خدمات شبکه مبتنی بر Go ممکن است شنوندگان MPTCP را بدون اطلاع مدیران فعال کنند.

این آسیب‌پذیری در هسته بالادست لینوکس رفع شد و به شاخه‌های هسته حفظ شده بکپورت شد. با این حال، به‌روزرسانی‌های امنیتی هنوز برای همه توزیع‌های لینوکس آسیب‌دیده ارائه نشده است.

طبق ردیاب امنیتی Canonical، اوبونتو 22.04 LTS، 24.04 LTS، 26.04 LTS و 26.10 آسیب پذیر هستند و از 30 اکتبر اصلاحات هسته در حال انجام است.

Red Hat همچنین RHEL 8، 9 و 10 را تحت تأثیر قرار می دهد، و برای به روز رسانی های آینده برنامه ریزی شده است. RHEL 7 تحت تأثیر قرار نمی گیرد زیرا هسته آن حاوی کد آسیب پذیر نیست.

در راهنمایی کاهش، ارائه‌دهنده پشتیبانی راکی ​​لینوکس CIQ تأیید می‌کند که راکی ​​لینوکس 8، 9 و 10 نیز تحت تأثیر قرار گرفته و محافظت‌های فایروال موقت را برای سیستم‌های آسیب‌دیده به اشتراک گذاشته است.

طبق ردیاب امنیتی دبیان، این آسیب‌پذیری در بسته هسته نسخه 6.1.190-1 برای Debian 12 (Bookworm) و 6.12.113-1 برای Debian 13 (Trixie) برطرف شد. بسته های ثابت نیز برای تست دبیان و ناپایدار در دسترس هستند.

سایر فروشندگان لینوکس، از جمله اوراکل لینوکس، آمازون لینوکس و SUSE نیز اصلاحاتی را برای برخی از نسخه های هسته آسیب دیده منتشر کرده اند.

این آسیب پذیری روی macOS که از هسته XNU اپل به جای هسته لینوکس استفاده می کند، تأثیر نمی گذارد.

به مدیران توصیه می‌شود که توصیه‌های امنیتی توزیع خود را بررسی کرده و بسته‌های هسته به‌روز شده را به محض در دسترس قرار گرفتن نصب کنند.

برای سیستم هایی که وصله ها هنوز در دسترس نیستند، محدود کردن دسترسی به شبکه های قابل اعتماد یا آدرس های IP می تواند خطر را کاهش دهد.

CIQ همچنین توصیه می‌کند بسته‌های IPv4 TCP حاوی گزینه‌های IP را قبل از رسیدن به کد پردازش آسیب‌پذیر TCP مسدود کنید و نمونه‌هایی از قوانین nftables را به اشتراک گذاشته که می‌توانند این نوع ترافیک را مسدود کنند.

این شرکت هشدار می دهد که غیرفعال کردن MPTCP به تنهایی کافی نیست زیرا آسیب پذیری اساسی همچنان می تواند از طریق ترافیک معمولی TCP فعال شود.

در حال حاضر هیچ گزارش تایید شده ای مبنی بر بهره برداری از CVE-2026-98432 در طبیعت وجود ندارد.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

پس از اینکه مدل‌ها سایت‌های دولتی را نقض می‌کنند، آنتروپیک تست‌های هوش مصنوعی خطرناک را آفلاین انجام می‌دهد

Anthropic از کاربران کلود می خواهد که داده های صوتی را برای آموزش مدل هوش مصنوعی به اشتراک بگذارند

Anthropic کلود را به یک بازار هوش مصنوعی با بیش از 2000 پلاگین و رابط تبدیل می کند

Claude Opus 5.5 95% کمتر از خطوط em استفاده می کند، اما پاسخ های آن طولانی تر می شود