Een aanvaller lijkt op grote schaal het internet af te zoeken naar Linux-servers die mogelijk kwetsbaar zijn voor een kritiek lek in de TCP-implementatie van de Linux-kernel. Beveiligingsonderzoeker Marcus Hutchins meldt dat het gaat om CVE-2026-98432, een kwetsbaarheid die onder bepaalde omstandigheden remote code execution mogelijk kan maken.
Het lek heeft een CVSS-impactscore van 9,8 op een schaal van 10. Daarmee valt de kwetsbaarheid in de hoogste risicocategorie. In het zwaarste scenario kan een aanvaller via het netwerk code uitvoeren op een kwetsbare server en het systeem volledig overnemen.
Race condition in IPv4 TCP-stack
CVE-2026-98432 betreft volgens de beschikbare informatie een race condition in de IPv4 TCP-stack van de Linux-kernel. Een race condition ontstaat wanneer de uitkomst van een proces afhankelijk wordt van timing tussen gelijktijdige handelingen. In kernelcode kan dat ernstige gevolgen hebben, omdat fouten in geheugenbeheer of timing kunnen leiden tot geheugenbeschadiging, denial-of-service of uitvoering van code.
AI-bedrijf Anthropic stelt een werkende exploit te hebben ontwikkeld. Volgens die claim kan een aanvaller speciaal geprepareerde netwerkpakketten naar een kwetsbare Linux-server sturen met een Multipath TCP-listener. Daarbij zouden willekeurige commando’s als root kunnen worden uitgevoerd. Voor die aanval zouden geen inloggegevens nodig zijn en ook geen interactie van een gebruiker.
Die claim maakt de kwetsbaarheid extra relevant voor organisaties met internetbereikbare Linux-systemen. Een lek dat zonder authenticatie via het netwerk kan worden misbruikt, valt in de praktijk vaak in de categorie incidenten waarbij snel patchbeheer en blootstellingsanalyse noodzakelijk worden.
Misbruik lijkt afhankelijk van Multipath TCP
Voor zover nu bekend, is misbruik niet op iedere Linux-server zonder meer mogelijk. Er wordt vooralsnog aangenomen dat Multipath TCP, afgekort MPTCP, in de kernel moet zijn ingeschakeld. Daarnaast moet er een applicatie of service luisteren die een MPTCP-socket bindt.
MPTCP is bedoeld om TCP-verbindingen over meerdere netwerkpaden te kunnen laten lopen. Dat kan nuttig zijn voor beschikbaarheid en prestaties, maar vergroot in dit geval mogelijk het aanvalsoppervlak als een server via internet bereikbaar is en de juiste voorwaarden aanwezig zijn.
Verschillende Linux-distributies hebben MPTCP standaard in de kernel ingeschakeld. Debian wordt daarbij expliciet genoemd. Ook is relevant dat Go 1.24 en nieuwere versies volgens Hutchins standaard MPTCP-sockets binden wanneer de kerneloptie is ingeschakeld. Software die bovenop Go is gebouwd, kan daardoor de vereiste MPTCP-listener aanmaken.
Honderdduizenden systemen gevonden bij scans
Hutchins voerde zelf scans uit om de omvang van de blootstelling in kaart te brengen. Een scan op poort 443 leverde ongeveer 2,1 miljoen Linux-servers op die via een MPTCP-verbinding bereikbaar waren. Een uitgebreidere scan, waarbij een volledige TLS-verbinding werd opgezet met MPTCP ingeschakeld, kwam uit op bijna 763.000 systemen.
Deze aantallen betekenen niet automatisch dat al die systemen daadwerkelijk kwetsbaar en succesvol aan te vallen zijn. Ze laten wel zien dat de technische randvoorwaarde MPTCP op grote schaal aanwezig kan zijn bij publiek bereikbare Linux-servers. Dat vergroot de kans dat aanvallers tijd investeren in het ontwikkelen of verfijnen van exploits.
Distributies brengen updates uit
Verschillende Linux-distributies hebben inmiddels beveiligingsupdates uitgebracht voor CVE-2026-98432. Ubuntu kwam deze week onder kritiek te staan omdat er op dat moment nog geen patches beschikbaar zouden zijn.
Voor beheerders is vooral van belang om vast te stellen welke Linux-systemen publiek bereikbaar zijn, of MPTCP daar actief is en of gebruikte software MPTCP-listeners kan aanmaken. De broninformatie noemt geen universele workaround buiten het installeren van beschikbare distributie-updates en het beoordelen van de MPTCP-blootstelling.
Analyse: waarom dit lek opvalt
Bevestigd nieuws: de kwetsbaarheid is geregistreerd als CVE-2026-98432, heeft een score van 9,8 en raakt de IPv4 TCP-stack van de Linux-kernel. Ook zijn er meldingen van internetbrede scans en zijn er door Hutchins grote aantallen MPTCP-bereikbare systemen vastgesteld.
Nog onzeker: uit de beschikbare informatie blijkt niet dat er al op grote schaal succesvolle compromittering plaatsvindt. Ook is de exploitclaim van Anthropic een claim van het bedrijf zelf. Wel wijst de combinatie van hoge ernst, netwerkbereikbaarheid zonder authenticatie en een grote potentiële blootstelling op een serieus risico.
Voor organisaties is de relevantie duidelijk: Linux-servers vormen vaak de basis van webdiensten, API’s, cloudomgevingen en interne infrastructuur. Een kwetsbaarheid in de kernelnetwerkstack kan daardoor gevolgen hebben die verder gaan dan één applicatie. Wanneer een aanvaller rootcommando’s kan uitvoeren, kan dat leiden tot volledige systeemovername, datadiefstal, laterale beweging of verstoring van dienstverlening.
Bron: security.nl
