Falha crítica no kernel Linux permite execução remota de código com privilégios root

Uma vulnerabilidade crítica no kernel Linux pode permitir que atacantes executem remotamente código com privilégios root em servidores que utilizam Multipath TCP (MPTCP). A falha, identificada como CVE-2026-98432, foi explorada com sucesso por investigadores da Anthropic, que recorreram a um modelo experimental de Inteligência Artificial (IA) para desenvolver um exploit capaz de comprometer um servidor sem necessidade de autenticação.

A vulnerabilidade recebeu uma classificação de 9,8 em dez na escala CVSS por parte da equipa responsável pela gestão de vulnerabilidades do kernel Linux. Embora afete também ligações TCP convencionais, a execução remota de código apenas foi demonstrada publicamente em sistemas com um serviço MPTCP à escuta.

A falha está presente em código do kernel Linux desde a versão 4.4 e afeta várias distribuições empresariais, incluindo Ubuntu, Red Hat Enterprise Linux (RHEL) e Rocky Linux.

Apesar da gravidade e da existência de um exploit demonstrado em ambiente de investigação, não existem, até ao momento, relatos confirmados de exploração da CVE-2026-98432 em ataques reais.

Vulnerabilidade resulta de falha na gestão de memória

A CVE-2026-98432 é uma vulnerabilidade do tipo use-after-free, localizada no código responsável pelo processamento de ligações TCP sobre IPv4.

Este tipo de falha ocorre quando um programa continua a utilizar uma região de memória depois de esta ter sido libertada, podendo provocar instabilidade, encerramento inesperado de processos ou, em determinadas circunstâncias, execução de código malicioso.

Segundo o aviso de segurança do kernel Linux, o problema resulta de uma condição de corrida na gestão dos pedidos de ligação TCP. A vulnerabilidade pode surgir quando diferentes processadores tratam simultaneamente determinados pedidos e retransmissões, originando acessos inconsistentes a estruturas de memória.

Uma situação semelhante pode ocorrer durante a migração de pedidos de ligação TCP, quando estão ativadas determinadas funcionalidades de configuração da rede ou mecanismos BPF associados à seleção e migração de sockets.

A exploração não exige autenticação, mas a Red Hat salienta que desencadear a condição de corrida é mais complexo do que enviar um único pacote malicioso.

Por esse motivo, a fabricante atribui à vulnerabilidade uma classificação de gravidade inferior, de 5,9 na escala CVSS, considerando sobretudo o potencial para provocar uma situação de negação de serviço através de uma falha do kernel.

Modelo experimental da Anthropic desenvolveu exploit em 53 minutos

A investigação da Anthropic demonstrou, contudo, que as consequências da vulnerabilidade podem ultrapassar a interrupção do serviço.

Num relatório sobre a utilização do Claude na descoberta e exploração de vulnerabilidades, a empresa revelou que um modelo de IA ainda não disponibilizado publicamente conseguiu desenvolver um exploit para a CVE-2026-98432.

O código produzido permitiu contornar o mecanismo de proteção Kernel Address Space Layout Randomization (KASLR), utilizado para dificultar a exploração de vulnerabilidades através da aleatorização das localizações de memória do kernel.

Segundo a Anthropic, o modelo conseguiu alcançar execução remota de comandos com privilégios root em cerca de 53 minutos, num servidor Linux com um serviço MPTCP ativo.

A demonstração evidencia o potencial de utilização de modelos avançados de IA para acelerar o desenvolvimento de exploits complexos. No entanto, o resultado foi obtido em condições específicas e não significa que a mesma técnica possa ser aplicada indiscriminadamente a qualquer servidor Linux vulnerável.

Aplicações Go podem ativar MPTCP sem conhecimento dos administradores

O Multipath TCP é uma extensão do protocolo TCP que permite utilizar vários caminhos de rede numa única ligação, com o objetivo de melhorar a fiabilidade e o desempenho das comunicações.

A tecnologia pode ser utilizada em ambientes com múltiplas interfaces de rede, como equipamentos que combinam ligações Wi-Fi e redes móveis.

Embora o MPTCP não esteja necessariamente ativo por predefinição em todas as aplicações, algumas ferramentas podem utilizá-lo automaticamente.

É o caso da linguagem de programação Go, que, a partir da versão 1.24, passou a ativar MPTCP por predefinição nos serviços TCP em Linux, desde que o kernel suporte esta funcionalidade.

Esta alteração significa que determinados serviços de rede desenvolvidos em Go podem disponibilizar ligações MPTCP sem que os administradores tenham configurado explicitamente essa opção.

A possibilidade de existirem serviços MPTCP ativos sem conhecimento das equipas de IT torna particularmente importante a identificação dos sistemas expostos, sobretudo porque foi neste tipo de configuração que a Anthropic demonstrou a execução remota de código.

Distribuições Linux começam a disponibilizar correções

A vulnerabilidade já foi corrigida no código principal do kernel Linux, tendo as alterações sido também adaptadas para versões do kernel que continuam a receber manutenção.

Contudo, a disponibilização das atualizações varia consoante a distribuição e a versão utilizada.

De acordo com a informação disponível a 30 de outubro, as versões Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS e 26.10 continuavam vulneráveis, com as respetivas correções em desenvolvimento.

A Red Hat identificou igualmente as versões RHEL 8, 9 e 10 como afetadas, estando previstas atualizações de segurança. O RHEL 7 não é afetado, uma vez que o respetivo kernel não inclui o código vulnerável.

No caso do Rocky Linux, as versões 8, 9 e 10 também estão abrangidas pela vulnerabilidade. A CIQ, fornecedora de suporte para esta distribuição, publicou orientações para mitigar temporariamente o risco enquanto as correções não estiverem disponíveis.

Já o Debian disponibilizou pacotes corrigidos para as versões 12 e 13. No Debian 12, a correção está incluída no pacote de kernel 6.1.190-1, enquanto no Debian 13 foi integrada na versão 6.12.113-1.

Outras distribuições, incluindo Oracle Linux, Amazon Linux e SUSE, também começaram a disponibilizar atualizações para algumas das versões afetadas.

A vulnerabilidade não afeta o macOS, que utiliza o kernel XNU da Apple.

Desativar MPTCP não elimina completamente o risco

As organizações devem consultar os avisos de segurança das respetivas distribuições Linux e instalar as atualizações do kernel assim que estiverem disponíveis.

Nos sistemas para os quais ainda não existem correções, a restrição do acesso a redes ou endereços IP de confiança pode ajudar a reduzir a exposição.

A CIQ recomenda ainda, como medida temporária, o bloqueio de pacotes TCP sobre IPv4 que contenham opções IP, antes de estes chegarem ao código vulnerável. A empresa disponibilizou exemplos de regras nftables para implementar esta proteção.

No entanto, desativar apenas o MPTCP não é suficiente para eliminar a vulnerabilidade, uma vez que a falha subjacente também pode ser desencadeada através de tráfego TCP convencional.

Esta distinção é relevante porque, apesar de a execução remota de código ter sido demonstrada apenas em servidores com MPTCP, a vulnerabilidade não está limitada a essa funcionalidade.

A correção do kernel continua, por isso, a ser a principal medida de proteção recomendada.

A CVE-2026-98432 representa um risco particularmente significativo para servidores expostos à Internet, sobretudo quando existem serviços MPTCP ativos. A demonstração realizada pela Anthropic evidencia ainda como a utilização de IA pode acelerar o desenvolvimento de técnicas de exploração avançadas, reduzindo o tempo necessário para transformar uma vulnerabilidade complexa num ataque funcional.