Die Linux-Sicherheitslücke CVE-2026-98432 könnte Angreifern unter bestimmten Bedingungen Root-Zugriff auf einen Server ermöglichen. Anthropic zufolge half ein internes Claude-Modell dabei, einen entsprechenden Exploit zu entwickeln. Canonicals zuletzt am 30. Oktober aktualisierte Statusseite führte betroffene Ubuntu-Versionen noch als „Vulnerable work in progress“.
Der upstream geführte Eintrag stuft die Schwachstelle als kritisch ein. Der von Anthropic beschriebene Angriff setzte allerdings einen Server mit einem Multipath-TCP-Listener voraus. AWS erklärte, dem Unternehmen seien keine Angriffe in freier Wildbahn bekannt.
- Anthropic zufolge kann der Exploit auf einem Server mit Multipath-TCP-Listener aus der Ferne Root-Rechte erreichen, ohne Zugangsdaten oder eine Aktion des Nutzers.
- Der Fehler im IPv4-TCP-Bereich geht laut dem upstream CVE-Eintrag auf Linux 4.4 zurück.
- Canonical führte Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS und 26.10 als betroffen und noch in Bearbeitung.
- Red Hat stufte das Problem als kritisch ein und beschleunigte nach eigenen Angaben die Bereitstellung von Fixes. AWS und Debian listeten korrigierte Kernelpakete.
- Die Aussage von AWS beschreibt den Kenntnisstand zum Veröffentlichungszeitpunkt. Sie belegt nicht, dass ein Angriff unmöglich war.
Linux-Sicherheitslücke: der bisherige Zeitplan
- 27. Oktober 2026: Anthropics Frontier Red Team beschrieb, wie ein noch nicht veröffentlichtes internes Claude-Modell beim Aufspüren und Ausnutzen von Schwachstellen in Software half, darunter im Linux-Kernel. Anthropic erklärte, die Ergebnisse im Rahmen einer koordinierten Offenlegung gemeldet zu haben. Anbieter sollten 90 Tage für Patches erhalten, gefolgt von weiteren 45 Tagen bis zu einer breiteren Diskussion.
- 30. Oktober 2026: Canonicals CVE-Seite führte betroffene Ubuntu-Versionen als noch in Bearbeitung. Red Hat stufte die Schwachstelle als kritisch ein und erklärte, die Bereitstellung von Fixes zu beschleunigen.
- 1. November 2026: AWS teilte mit, dass korrigierte Pakete für Amazon Linux 2 und Amazon Linux 2023 verfügbar seien. Laut AWS muss der Kernel aktualisiert und der Server anschließend neu gestartet werden, damit der Fix greift.
- 2. November 2026: Decrypt berichtete, Ubuntu habe weiterhin keinen Fix, während Red Hat die Schwachstelle behoben habe. Die von Canonical zitierte Seite war zuletzt am 30. Oktober aktualisiert worden. Ihr Status ist daher mit diesem Datum zu lesen.
Technischer Hintergrund zur Ubuntu Kernel Sicherheitslücke
Die Linux-Sicherheitslücke betrifft die Speicherverwaltung im IPv4-TCP-Stack. Der upstream CVE-Eintrag beschreibt einen Use-after-free-Fehler im Zusammenhang mit dem Speicher für Socket-Optionen. Der Fix verschiebt die Freigabe des betroffenen Speichers bis nach Ablauf einer RCU-Grace-Period. Laut Eintrag ist IPv6 vom Hauptproblem nicht betroffen, weil der entsprechende Verbindungspfad die Optionen dupliziert.
CVE-2026-98432 hat einen CVSS-3.1-Wert von 9,8 und wird damit als kritisch eingestuft. Der upstream Eintrag nennt behobene Kernel-Zweige, darunter 5.10.272, 6.1.190 und 6.12.113. Canonical vergab auf seiner am 30. Oktober aktualisierten Seite für Ubuntu die Priorität „High“, zeigte aber ebenfalls den kritischen Wert 9,8 an. Die Angaben stammen aus unterschiedlichen Bewertungssystemen.
Anthropic beschrieb auch die Abfolge des Exploits: Claude brauchte 48 Minuten, um einen Kernel-Pointer auszulesen, und weitere fünf Minuten, um einen Shell-Befehl auszuführen. Die Demonstration aus der Ferne benötigte weder Zugangsdaten noch eine Nutzeraktion. Voraussetzung war jedoch ein Server mit Multipath-TCP-Listener. Das belegt nicht, dass sich jeder Linux- oder Ubuntu-Rechner auf dieselbe Weise kompromittieren lässt.
Im Forschungsbericht von Anthropic geht es außerdem um Untersuchungen zu Chrome, Safari, Android und Windows. Das Unternehmen erklärte, die Funde über eine koordinierte Offenlegung gemeldet zu haben: Anbieter erhielten 90 Tage für Patches und danach weitere 45 Tage bis zu einer breiteren Diskussion.
Reaktionen und Status der Linux-Distributionen
Canonicals CVE-Statusseite führte für vier Ubuntu-Versionen das zentrale Linux-Paket mit dem Status „Vulnerable work in progress“. Die Seite war zuletzt am 30. Oktober aktualisiert worden. Ein späterer Status kann sich geändert haben.
Red Hat stufte die Schwachstelle in seinem Bulletin vom 30. Oktober als kritisch ein und erklärte, Fixes schneller bereitzustellen. Das Unternehmen warnte, dass das Filtern eingehender IPv4-Pakete mit IP-Optionen die Angriffsfläche verringern könne, aber kein Ersatz für ein Kernel-Update sei. Decrypt berichtete am 2. November, Red Hat habe den Fehler behoben. AWS meldete am 1. November verfügbare Pakete für Amazon Linux und erklärte, keine Ausnutzung in freier Wildbahn zu kennen. Der Debian-Tracker führt Fixes für Debian 12 und 13 auf.
Die vorliegenden Marktdaten stellen keinen Zusammenhang zwischen der Linux-Sicherheitslücke und den Kryptokursen her. Am 2. November 2026 um 22:13 UTC notierte Bitcoin bei 76.766 US-Dollar und lag im 24-Stunden-Zeitraum 1,28 Prozent im Minus. Ether kostete 2.255,90 US-Dollar, ein Rückgang um 0,19 Prozent. Diese Zahlen liefern lediglich Marktkontext und sind kein Beleg für eine Reaktion auf den Bericht.
Worauf es als Nächstes ankommt
Für Ubuntu-Nutzer ist zunächst entscheidend, ob Canonical aktualisierte Kernelpakete für die aufgeführten Versionen veröffentlicht. Auf der bereitgestellten Canonical-Seite war das zentrale Linux-Paket am 30. Oktober noch als in Bearbeitung und verwundbar markiert. Dass andere Distributionen Fixes aufführen, bedeutet nicht automatisch, dass ein Ubuntu-Update verfügbar ist.
Relevant sind aktualisierte Hinweise der Anbieter und belastbare Berichte über tatsächliche Angriffe. Red Hat beschrieb Paketfilterung als Möglichkeit, das Risiko zu senken, nicht als Ersatz für ein Kernel-Update. AWS erklärte, dass nach dem Kernel-Update ein Neustart nötig sei, damit der Fix wirksam wird.
Anthropics Demonstration zeigt, wie unter den genannten Voraussetzungen Root-Zugriff möglich war. Die vorliegenden Informationen belegen jedoch nicht, dass ein bestimmter Dienst oder ein Unternehmen kompromittiert wurde. Das tatsächliche Risiko hängt von der Distribution, dem installierten Kernelpaket und der Systemkonfiguration ab.
Häufige Fragen zur Linux-Sicherheitslücke
Was bedeutet die Linux-Sicherheitslücke CVE-2026-98432?
Es handelt sich um einen Proof of Concept für einen Use-after-free-Fehler im IPv4-TCP-Bereich des Linux-Kernels. Anthropic zufolge konnte der Angriff auf einem Server mit Multipath-TCP-Listener aus der Ferne Root-Rechte erreichen, ohne Zugangsdaten oder eine Aktion des Nutzers.
Ist die Ubuntu Kernel Sicherheitslücke behoben?
Canonicals zuletzt am 30. Oktober aktualisierte CVE-Seite führte Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS und 26.10 als „Vulnerable work in progress“. Für spätere Änderungen am Paketstatus ist der aktuelle Hinweis von Canonical maßgeblich.
Betrifft der Linux-Exploit jeden Server?
Nein. Anthropics Demonstration setzte einen Server mit Multipath-TCP-Listener voraus. Laut upstream Hinweis betrifft das Hauptproblem IPv6 nicht. Auch das installierte Kernelpaket und die Systemkonfiguration bestimmen, ob ein System betroffen ist.
Quellen
- Discovering and exploiting vulnerabilities in critical, real-world software with Claude (www.anthropic.com)
- CVE-2026-98432 | Ubuntu (ubuntu.com)
- Claude-Built Linux Exploit Targets Bug That Ubuntu Still Hasn't Patched (Decrypt)
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungen sind sehr volatil, recherchieren Sie daher immer selbst, bevor Sie investieren.
