CVE-2026-98432: Celah Kritis TCP Linux, CVSS 9.8
Judul asli: TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
Mengapa Ini Penting
Celah tanpa autentikasi di lapisan TCP berdampak pada hampir semua server Linux aktif.
CVE-2026-98432, celah use-after-free kritis (CVSS 9.8) di TCP IPv4 Linux, ditemukan sejak kernel 4.4. Ubuntu dan RHEL belum rilis patch per 31 Oktober 2026.
CVE-2026-98432 adalah kerentanan use-after-free di proses TCP handshake IPv4 Linux kernel, dapat dieksploitasi oleh penyerang jarak jauh tanpa autentikasi. Kernel CNA memberi skor CVSS 3.1 sebesar 9.8 (Critical). Bug ini ada sejak Linux 4.4 dan sudah diperbaiki di versi 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, dan 7.3 — dirilis upstream pada 11 dan 15 Oktober 2026.
Yang memperparah situasi: Anthropic melaporkan bahwa model Claude miliknya berhasil menulis proof-of-concept exploit yang dapat menjalankan perintah sebagai root di server Linux dengan multipath TCP listener — tanpa kredensial apa pun. Go Security Team mengonfirmasi program Go membuka listener multipath TCP secara default, sehingga jumlah sistem yang rentan lebih besar dari perkiraan awal.
Per 31 Oktober 2026, Ubuntu masih mencatat status "Vulnerable" di semua rilisnya. Red Hat menaikkan rating dari Important (8.1) ke Critical (9.8) pada 30 Oktober, namun RHEL 8, 9, dan 10 belum mendapat patch. Debian, SUSE Enterprise terbaru, Oracle UEK, dan Amazon Linux sudah memiliki kernel yang diperbaiki. Mitigasi sementara: blokir paket TCP dengan IPv4 options, matikan multipath TCP jika tidak digunakan, dan prioritaskan patching host dengan multipath TCP listener.