CVE-2026-98432: falla critica nel kernel Linux, CloudLinux senza patch definitiva

Chi gestisce server CloudLinux ha un nuovo CVE da seguire senza ancora una patch completa: CVE-2026-98432, un use-after-free nel codice TCP IPv4 del kernel Linux, con punteggio CVSS 9.8 assegnato dal team CVE del kernel. Il difetto è raggiungibile da remoto, senza account sul server: basta una porta TCP IPv4 aperta per mail, siti o SSH.

Cosa cambia per chi ospita siti

Il 27 ottobre Anthropic, che ha segnalato la falla, ha dichiarato di aver fatto costruire a un proprio modello AI un exploit capace di dare root remota su server con un listener Multipath TCP (MPTCP) attivo. Il team kernel di CloudLinux non è riuscito a riprodurre il risultato, l'exploit non è stato pubblicato e non risultano attacchi reali in corso. Su CloudLinux 8, 9 e 10 MPTCP è disattivato di default (si verifica con sysctl net.mptcp.enabled), ma il bug sta nel TCP ordinario: ogni versione interessata resta da correggere comunque.

Stato patch per versione

Versione	Kernel	Patch kernel	Livepatch KernelCare
CloudLinux 7	3.10	Non interessata	Non necessario
CloudLinux 7h	4.18	In preparazione	In preparazione
CloudLinux 8	4.18	In preparazione	In preparazione
CloudLinux 8 LTS	5.14 (TuxCare ELS)	kernel-lts els19, rollout graduale dal 30/10	Non disponibile, serve il kernel
CloudLinux 9	5.14	Red Hat non ha ancora rilasciato il fix	In preparazione
CloudLinux 9 LTS	5.14 (TuxCare ELS)	kernel-lts els19, rollout graduale dal 30/10	Non disponibile, serve il kernel
CloudLinux 10	6.12	Red Hat non ha ancora rilasciato il fix	In preparazione
CloudLinux per Ubuntu 22.04	5.15	Canonical non ha ancora rilasciato il fix	Non disponibile

Non esiste una mitigazione intermedia: Red Hat dichiara che nessuna opzione disponibile soddisfa i suoi criteri di facilità di implementazione e stabilità. Per chi ha già il kernel corretto, la verifica è uname -r confrontato con la build in staged rollout; con KernelCare, una volta rilasciato il livepatch, si usa kcarectl --patch-info | grep CVE-2026-98432 (non --info, che non elenca i CVE e fa apparire patchato un server che non lo è).

Va segnalato che il punteggio non è univoco: CVE-2026-98432 è una vulnerabilità use-after-free valutata 9.8 (Critica) da Ubuntu e 5.9 (Moderata) da Red Hat, mentre l'advisory in formato macchina di Red Hat è stata aggiornata a 8.1. Altre distribuzioni hanno già chiuso la falla: Amazon Linux 2023 con kernel6.18 è stato corretto il 24 ottobre e, secondo lo stesso tracker, Oracle Linux dal 16 ottobre. Per chi usa CloudLinux, al 30 ottobre, restano da aggiornare 7h, 8, 9, 10 e la variante per Ubuntu 22.04.