Sebuah kelemahan keamanan fatal pada kode implementasi TCP kernel Linux, yang kini terdaftar sebagai CVE-2026-98432, memberikan dampak risiko signifikan terhadap sejumlah distribusi besar seperti Ubuntu, Red Hat Enterprise Linux (RHEL), beserta sistem turunan lainnya. Tim pengelola CVE internal kernel secara resmi mengganjar kerentanan berbahaya ini dengan peringkat CVSS mencapai nilai 9,8 dari rentang tertinggi 10 poin.
Perusahaan riset teknologi Anthropic mengumumkan pada 27 Oktober bahwa sistem kecerdasan buatan racikannya berhasil memprogram skrip eksploitasi fungsional. Modul penyerang otomatis ini mampu memanfaatkan lubang proteksi tersebut guna memberikan kendali akses root penuh kepada peretas jarak jauh tanpa membutuhkan autentikasi berkredensial, khususnya pada server Linux yang menjalankan layanan multipath TCP.
Hingga tanggal 29 Oktober, komunitas resmi Ubuntu serta platform enterprise RHEL sama sekali belum menyalurkan pembaruan paket kernel berpenambal. Sementara itu, kubu pengembang Red Hat, Amazon, Oracle, dan SUSE mencantumkan skor keparahan celah ini berada pada kisaran 5,9 sampai 8,1, peringkat numerik yang relatif lebih moderat bila disandingkan dengan estimasi 9,8 keluaran tim inti kernel.
Kerentanan jaringan ini berasal dari insiden kondisi perebutan sumber daya atau race condition yang timbul di dalam logika algoritma pembentukan sesi awal koneksi IPv4 TCP baru. Galat runtime tersebut memaksa alur kerja kernel mengeksekusi proses pembacaan blok memori sistem yang hak alokasinya telah dibebaskan sebelumnya, bentuk malafungsi komputasi klasik yang lazim diidentifikasi sebagai eror use-after-free.
Pembaruan perbaikan resmi pada pohon repositori kernel secara khusus memberikan kredit penemuan bug kepada figur peneliti Anthropic bernama Xinyang Ge atas laporan investigatifnya. Berkas pencatatan CVE maupun kode tambalan pengembang kernel tidak pernah menyebut kaitan langsung modul multipath TCP (MPTCP). Hubungan teknis spesifik antara fungsi jaringan tersebut dan kerentanan murni disimpulkan berdasarkan rilis publikasi Anthropic.
Mekanisme protokol MPTCP memungkinkan satu alur pertukaran koneksi memanfaatkan jalur infrastruktur jaringan ganda dalam waktu bersamaan demi redundansi transmisi. Pada tatanan operasional arsitektur Linux konvensional, setiap piranti lunak aplikasi wajib melakukan permintaan pemanggilan parameter koneksi MPTCP secara eksplisit di saat inisialisasi pembukaan soket sistem berlangsung.
Dokumentasi resmi Anthropic menyatakan kepastian bahwa celah struktural ini "telah ditambal pada cabang hulu (upstream) dan didistribusikan kembali (backported) ke seluruh lini cabang kernel stabil yang aktif dipelihara." Namun demikian, bagi segenap pengguna umum ekosistem distribusi, penambalan baru benar-benar tiba tatkala pihak pengelola merilis bundel biner terkurasi. Platform Debian, Oracle Linux, SUSE, dan Amazon Linux terpantau sudah mengalirkan distribusi paket teranyar pada varian tertentu, berkebalikan dengan fakta bahwa Ubuntu dan RHEL masih belum menyediakannya.
Distribusi Mana Saja yang Memiliki Perbaikan
Ubuntu masih menempatkan lini kernel cloud, modul kriptografi kepatuhan FIPS, hingga sistem kernel waktu-nyata miliknya ke dalam kategori rentan terhadap paparan atau masih berada dalam fase pengerjaan aktif. Selaras dengan itu, Red Hat secara terbuka menegaskan bahwa alokasi tambalan miliknya "saat ini ditangguhkan untuk pembaruan masa depan." Sampai hari ini, pihak pengelola Red Hat maupun Ubuntu sama-sama tidak menetapkan target tanggal rilis yang pasti.
Cara Kerja Bug
Fenomena perebutan pemrosesan data (race condition) tersebut terpicu tepat pada momentum pertukaran sinyal jabat tangan tiga arah protokol TCP berlangsung. Manakala proses pembentukan sambungan dinyatakan tuntas, kernel secara spontan mengalihkan pointer opsi IP yang tadinya tersimpan di dalam antrean penampung permohonan ke dalam wadah soket baru tanpa menduplikasi data tersebut ke alokasi terpisah.
Jika soket yang bersangkutan terhapus atau hancur saat unit inti prosesor (CPU) lain masih sibuk memproses dan membaca parameter opsi itu guna merespons paket permintaan yang dikirim ulang, sistem kernel akan terjebak membaca kembali alamat memori yang sudah berstatus bebas.
Di sisi lain, tatanan koneksi berbasis protokol IPv6 dipastikan kebal terhadap malafungsi perebutan memori ini, karena kernel secara konsisten menjalankan mekanisme penduplikasian data opsi secara terisolasi untuk seluruh lalu lintas komunikasi IPv6.
Akar kerentanan ini sebenarnya telah bercokol di dalam ekosistem kernel Linux sejak peluncuran basis kode versi 4.4 silam. Jajaran tim pengembang kernel baru menerapkan suntikan perbaikan pada 5 Oktober, tepat sepuluh hari sebelum catatan CVE dirilis secara terbuka kepada khalayak.
Metode penanganan galat yang diterapkan bekerja dengan cara memaksa sistem kernel menunda instruksi pelepasan blok opsi sampai seluruh unit prosesor lain sepenuhnya selesai menuntaskan proses pembacaan data rujukan tersebut secara tuntas.
Mengapa Terdapat Perbedaan Skor Penilaian
Grup otoritas penilai CVE internal kernel Linux resmi menyematkan skor tingkat keparahan 9,8 ke dalam basis data CVE pada tanggal 24 Oktober, berselang sembilan hari pasca dokumen pengumuman CVE perdana diluncurkan.
Perhitungan skor drastis tersebut berpijak pada skenario teoretis di mana seorang penyerang mengirimkan transmisi permintaan koneksi TCP yang memuat opsi IPv4 Record Route atau Timestamp khusus, lalu meluncurkan paket susulan demi memenangkan kondisi perebutan. Tim penilai kernel mengklasifikasikan kompleksitas serangan pada level rendah karena meyakini seluruh pemicu di kedua sisi perebutan memori "diinduksi langsung oleh pihak penyerang."
Apabila kondisi tersebut terpenuhi, komite memperingatkan bahwa anomali bug berpotensi memuntahkan isi memori kernel terdekat langsung ke pihak luar, merusak tatanan integritas memori internal kernel, hingga memicu kegagalan total sistem atau crash.
Hingga pencatatan tanggal 28 Oktober, lembaga National Vulnerability Database (NVD) belum merilis matriks independen miliknya dan masih merefleksikan nilai 9,8 yang dipatok tim kernel. Halaman keamanan resmi Ubuntu pun turut menampilkan angka keparahan ekstrem yang identik.
Sebaliknya, laman CVE kepunyaan Red Hat menggolongkan anomali ini pada kategori Sedang (Moderate) berbobot skor 5,9, dengan alasan perebutan memori sangat sulit dimenangkan penyerang secara konsisten. Mereka berargumen bahwa imbas paling logis hanyalah insiden crash kernel biasa, meski korupsi memori secara teoretis tetap mungkin terjadi, serta menegaskan bahwa "tidak ada bukti dampak kerahasiaan atau integritas yang telah didemonstrasikan secara nyata."
Akan tetapi, berkas lembar penasihat mesin Red Hat yang diperbarui pada 29 Oktober justru menaikkan level dampak ke kategori Penting (Important) dengan skor 8,1, yang memperhitungkan dampak destruktif tinggi terhadap kerahasiaan sekaligus integritas data. Pelacak isu Red Hat pun langsung menaikkan status ancaman dari taraf sedang ke tinggi pada hari yang sama, kendati portal web CVE publik mereka kala itu masih menampilkan status Moderate berangka 5,9.
Penyedia platform seperti Oracle dan SUSE juga mengumumkan bobot skor di angka 8,1, mengadopsi rincian vektor CVSS yang serupa persis dengan berkas anjuran Red Hat. Seluruh parameter penilaian vendor tersebut sejalan dengan kalkulasi tim kernel Linux, kecuali pada variabel kompleksitas penyerangan yang dianggap berstatus tinggi oleh para vendor, berkebalikan dengan tim kernel yang memandangnya bernilai rendah. Sementara itu, pihak Amazon menyematkan evaluasi skor di angka 7,0.
Apa yang Dibuat oleh Anthropic
Anthropic menjabarkan rincian teknis eksploitasi Linux tersebut melalui artikel yang dirilis pada 27 Oktober, mengulas tentang aneka celah yang berhasil diidentifikasi dan dieksekusi oleh model kecerdasan buatannya, Claude. Media The Hacker News turut memberitakan publikasi tersebut pada 28 Oktober. Anthropic memaparkan bahwa Claude sukses menyusun rantai kode serangan tersebut hanya bersandarkan pada "perintah awal (initial prompting)."
Mekanisme penyerangan ini beroperasi memanfaatkan dua tahapan strategis. Mula-mula, dinamika perebutan memori dipicu agar kernel tanpa sengaja mengekspos byte memori tambahan kembali menuju pihak peretas. Begitu salah satu dari paket balasan itu memuat bocoran alamat memori kernel, peretas dengan mudah dapat melumpuhkan sistem proteksi KASLR, yakni sistem pertahanan pengacak tata letak ruang memori kernel Linux.
Memasuki fase kedua, anomali bug yang sama dimanfaatkan untuk memicu kondisi luapan penyangga (buffer overflow) dan menimpa alamat pointer callback dengan rujukan memori payload jahat yang sebelumnya disusupkan pelaku ke ruang kernel. Manakala kernel mengeksekusi pointer modifikasi tersebut, muatan kode langsung mengeksekusi instruksi perintah shell pilihan penyerang di bawah hak istimewa pengguna root tertinggi.
Kegagalan dalam memenangkan perebutan pemrosesan data hanya berakibat pada kegagalan upaya percobaan koneksi tunggal tanpa menyebabkan mesin server tumbang, sehingga penyerang leluasa mengulang proses penyerangan secara terus-menerus tanpa memicu kecurigaan. Berdasarkan hasil pengujian laboratorium Anthropic, proses pencurian alamat memori kernel memakan durasi selama 48 menit, sebelum akhirnya eksekusi kode berhasil dicapai dalam tambahan waktu 5 menit berikutnya.
Artikel teknis yang dirilis Anthropic tersebut sama sekali tidak menyertakan rincian kode eksploitasi mentah, nomor versi kernel yang diuji, maupun gambaran konfigurasi sistem target saat percobaan dilakukan.
Pihak Red Hat menerangkan bahwa peretas jarak jauh yang dapat menjangkau port layanan TCP terbuka pada dasarnya mampu memicu anomali perebutan tersebut. Kendati demikian, skrip pembobolan root milik Anthropic dikhususkan menargetkan server yang mengaktifkan pendengar multipath TCP. Publikasi tersebut tidak merinci apakah peladen tanpa fitur MPTCP dapat dieksploitasi menggunakan metode identik.
Hingga batas 29 Oktober, tidak ada satu pun pengumuman vendor, lembar CVE, maupun laporan pengujian Anthropic yang mendapati adanya aksi eksploitasi aktif di dunia nyata. Indikator serangan ini juga nihil di dalam salinan repositori Known Exploited Vulnerabilities catalog milik badan CISA yang terakhir kali diperbarui CIRCL Luksemburg per 28 Oktober.
Bagi administrator sistem yang menggunakan distribusi berpembaruan resmi, sangat disarankan untuk segera memperbarui paket kernel Anda. Rekapitulasi advisori untuk distribusi Debian, Oracle Linux, SUSE, dan Amazon Linux telah merilis tambalan relevan.
Bagi kalangan pengguna yang mengompilasi kernel mandiri, perbaikan terintegrasi telah tersedia pada kernel Linux versi 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, dan 7.3. Otoritas tim CVE kernel merekomendasikan pembaruan segera ke kernel stabil terkini, mengingat komunitas pengembang kernel resmi menolak skema tambal sulam parsial berbasis penarikan patch individual.
Di lain pihak, pengguna Ubuntu, varian enterprise RHEL, serta edisi rilis tertentu pada Amazon Linux dan SUSE masih harus bersabar menunggu kehadiran paket pembaruan. Red Hat mengakui ketiadaan metode mitigasi sementara yang memenuhi kualifikasi kemudahan instalasi, kesesuaian implementasi massal, maupun stabilitas operasional. Tidak ada panduan mitigasi resmi lain yang dipublikasikan oleh para vendor terdampak.
Rangkaian dokumen anjuran keamanan beserta ulasan Anthropic pun tidak memberikan kepastian apakah mematikan fungsionalitas multipath TCP secara total, atau menyaring transmisi koneksi masuk yang memuat opsi IP khusus, benar-benar ampuh memangkas tingkat risiko eksploitasi di lapangan.
