کدی که از ژانویهٔ ۲۰۱۶ در هستهٔ لینوکس بود، هر روز میلیون‌ها اتصال TCP را مدیریت می‌کرد و کسی متوجه ایرادش نشد. حالا این ایراد شناسهٔ CVE-2026-98432 و امتیاز ۹٫۸ گرفته است و Anthropic می‌گوید یک مدل هوش مصنوعی آزمایشی در حدود ۵۳ دقیقه با آن از راه دور دسترسی روت گرفته است.
هنگام ساختن سوکت فرزند از یک درخواست اتصال، گزینه‌های IP بدون کپی به سوکت جدید سپرده می‌شوند. اگر هم‌زمان یک SYN تکراری روی هستهٔ دیگری از پردازنده برسد، پاسخ SYNACK ممکن است حافظهٔ آزادشده را بخواند. نتیجه یک نقص «استفاده پس از آزادسازی» است که بدون رمز و فقط با ترافیک شبکه فعال می‌شود.
اکسپلویت Anthropic روی سروری با شنوندهٔ MPTCP نشان داده شده و منتشر نشده است. تا ۳۰ اکتبر حملهٔ واقعی گزارش نشده، اما زبان Go از نسخهٔ 1.24 روی لینوکس MPTCP را به‌طور پیش‌فرض روشن می‌کند و همین دامنهٔ خطر را بزرگ‌تر از چیزی می‌کند که به نظر می‌رسد.
وصله‌شده: Debian 12 و 13، بیشتر نسخه‌های SUSE، Oracle UEK و هسته‌های جدید Amazon Linux 2023.
در انتظار: RHEL 8، 9 و 10 و هم‌خانواده‌ها، و Ubuntu 22.04 تا 26.10.
آسیب‌پذیر نیست: RHEL 7 و CentOS 7.
با ss -H -lMn شنونده‌های MPTCP را پیدا کنید و اگر لازم نیست خاموششان کنید؛ اما بدانید این کار به‌تنهایی کافی نیست.
بسته‌های TCP دارای گزینهٔ IP را روی فایروال یا با nftables حذف کنید؛ ترافیک عادی تقریباً به آن نیاز ندارد.
سرویس‌های غیرضروری را از اینترنت جدا کنید و پشت VPN یا پروکسی ببرید.
بعد از نصب هستهٔ جدید حتماً ریبوت کنید؛ بستهٔ نصب‌شده بدون راه‌اندازی دوباره اثری ندارد.
در ارزیابی‌ها بارها دیده‌ایم که ماشین‌های مجازی جانبی، از مانیتورینگ تا API داخلی، ماه‌ها ریبوت نشده‌اند. وقتی ساخت اکسپلویت به یک ساعت می‌رسد، فهرست دقیق نسخهٔ هستهٔ هر سرور دیگر یک کار لوکس نیست.
نسخهٔ کامل این مطلب همراه با چک‌لیست اقدام در این نشانی منتشر شده است؛ آن را در نوار آدرس مرورگر وارد کنید: symantecland.com/linux-kernel-tcp
— کاظم مرتضوی، مشاور مستقل امنیت شبکه
