Claude napisał exploit na Linuksa. Ubuntu wciąż nie ma łatki na groźną lukę

Luka CVE-2026-98432 siedzi w jądrze Linuksa od wersji 4.4 i ma ocenę 9,8 na 10. Według Decrypt Anthropic opisało 27 października badanie, z którego wynika, że Claude napisał exploit pozwalający obcej osobie przejąć kontrolę nad serwerem przez internet, bez żadnego hasła. Exploit powstał po wstępnym promptowaniu, a użyto do niego niewydanego, wewnętrznego modelu firmy.

Publikacja Anthropic obejmuje pięć celów: Chrome, Safari, Androida, Windowsa i Linuksa. Atak na Linuksa potrzebuje mniej niż godziny, żeby znaleźć ukryte miejsce w pamięci, i kolejnych pięciu minut, żeby wykonać polecenie z uprawnieniami roota.

Jak działa błąd

Red Hat opisuje CVE-2026-98432 jako błąd typu use-after-free w podsystemie IPv4. Zdalny, nieuwierzytelniony atakujący może wykorzystać race condition przy obsłudze żądania połączenia TCP i wykonać kod na serwerze. Według AlmaLinux jedna część systemu wyrzuca informację, gdy inna wciąż z niej korzysta. Wystarczy odpowiednio spreparowana wiadomość otwierająca połączenie.

Atakującego nieudana próba prawie nic nie kosztuje. „Przegrany wyścig kończy się tylko nieudanym handshake’em, bez zawieszania całego systemu, więc zdeterminowany atakujący może ponawiać próby w nieskończoność, aż się uda” — napisało Anthropic (cytat w tłumaczeniu z angielskiego).

Pokazany przez Anthropic exploit wymaga, by serwer korzystał z multipath TCP (MPTCP), czyli funkcji pozwalającej prowadzić jedno połączenie kilkoma trasami naraz. Według Go Security Team programy w Go mają ją domyślnie włączoną od wersji 1.24. Zespół ostrzega jednak, że sam błąd nie jest ograniczony do MPTCP, więc brak tej funkcji nie gwarantuje bezpieczeństwa. Jego zdaniem najlepszym rozwiązaniem jest aktualizacja do załatanego jądra.

Kto już załatał, a kto nie

Red Hat wydał w niedzielę poprawki dla RHEL 8, 9 i 10, w tym RHSA-2026:93412, jak podaje Decrypt. Poprawki mają też Debian, SUSE, Oracle Linux i Amazon Linux, przynajmniej dla części wersji. Szczegóły opisuje biuletyn Red Hata.

Gorzej wygląda sytuacja w Ubuntu. Tracker bezpieczeństwa pokazuje poprawki „w toku” dla wydań 22.04, 24.04, 26.04 i 26.10. Wersje 20.04, 18.04 i 16.04 mają status „Vulnerable”, a daty wydania poprawki nie podano dla żadnej z nich.

Dla administratorów, którzy nie mogą jeszcze aktualizować, Red Hat opublikował tymczasową regułę firewalla. Według biuletynu „zmniejsza ona ekspozycję na tę podatność, ale nie może jej w pełni zapobiec”. Pełne rozwiązanie tymczasowe jest wciąż opracowywane.

Irlandzkie NCSC w swoim komunikacie opisuje błąd jako krytyczny race condition w IPv4 TCP. Może on prowadzić do wycieku informacji, korupcji pamięci albo awarii systemu.