Linux publikoi më 11 dhe 15 tetor 2026 korrigjime për CVE-2026-98432, një dobësi use-after-free gjatë vendosjes së lidhjeve IPv4 TCP. Ajo mund të arrihet nga larg, pa autentikim dhe para përpunimit nga aplikacionet. Autoriteti CNA i kernelit e vlerëson kritike, me CVSS 3.1 9.8; Red Hat e vlerëson me 8.1.
Problemi prek kernelet që nga Linux 4.4 dhe lidhet me lirimin e memories ndërsa një procesor tjetër mund ta lexojë ende. Pasojat përfshijnë rrjedhje të memories së kernelit, shkrime jashtë kufijve ose rrëzim të sistemit. Anthropic thotë se modeli Claude krijoi një demonstrim funksional që ekzekuton komanda si root në serverë me një socket dëgjues multipath TCP. Çështja kryesore nuk prek IPv6.
Versionet e korrigjuara janë 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 dhe 7.3. Megjithatë, shpërndarjet përdorin edhe korrigjime të bartura në versione me numërtimin e tyre. Deri në orën 20:00 CDT, më 29 tetor, Ubuntu i shënonte ende të cenueshme kernelet në çdo version, ndërsa RHEL 8, 9 dhe 10 figuronin të prekura pa korrigjim.
Korrigjimi ishte i disponueshëm për Debian dhe disa kernele të SUSE, Oracle Linux e Amazon Linux. Administratorët duhet të kontrollojnë statusin te shpërndarja dhe të rinisin sistemin pas përditësimit. Kjo vlen edhe për hostet e kontejnerëve dhe nyjet Kubernetes: kontejnerët përdorin kernelin e hostit, ndaj një imazh i ri nuk e zgjidh problemin.
Burimi: Hacker News — lexoni artikullin e plotë në anglisht.
