Pembaruan kernel guna mengatasi celah keamanan use-after-free pada kode IPv4 TCP kernel Linux kini telah resmi meluncur untuk Red Hat Enterprise Linux 8, 9, dan 10. Sementara itu, solusi penanganan dari Ubuntu bagi tiga edisi long-term-support terbarunya dilaporkan masih tertahan di saluran pengujian bertahap tanpa adanya jadwal rilis pembaruan reguler yang dipastikan.
Kelemahan sistemik yang diidentifikasi dengan kode CVE-2026-98432 ini dapat diakses secara langsung oleh pelaku penyerangan jarak jauh tanpa kredensial autentikasi apa pun, serta sanggup memicu eksekusi kode jarak jauh secara penuh, demikian konfirmasi resmi dari Red Hat bersama Canonical.
Tim CVE internal kernel Linux menetapkan tingkat keparahan celah ini pada poin 9.8 dari skala maksimal 10 CVSS. Red Hat, yang pada awalnya hanya mematok status Moderate bernilai 5.9, kini telah menaikkan peringkat keparahannya hingga menyentuh 9.8 dan mengelompokkannya sebagai ancaman Kritis. Cacat bawaan tersebut terbukti telah bersarang semenjak kemunculan Linux 4.4, sementara perbaikan di lini upstream baru terintegrasi tuntas pada bulan Oktober.
Penjelasan Teknis Celah Keamanan
Ketika sebuah mesin peladen menerima permintaan sambungan IPv4 TCP masuk, kernel langsung menyalurkan serangkaian opsi IP bawaan menuju soket baru yang dibuat tanpa membuat salinan datanya terlebih dahulu. Apabila pihak klien secara serentak mengulang pengiriman paket koneksinya di saat unit pemrosesan prosesor lain sedang membaca opsi tersebut, kernel dapat membaca blok memori yang statusnya sudah terbebas.
Pihak peretas dapat memicu kondisi race condition ini cukup dengan melayangkan paket permintaan koneksi khusus yang disisipi opsi IPv4 Record Route maupun opsi Timestamp menuju port TCP mana saja yang aktif memantau lalu lintas. Prosedur peretasan sama sekali tidak membutuhkan akses masuk pengguna. Di sisi lain, protokol IPv6 dipastikan tidak terdampak pada alur pemrosesan utamanya.
Red Hat telah meluncurkan paket pembaruan RHSA-2026:93414 untuk RHEL 8, RHSA-2026:93412 untuk RHEL 9, serta RHSA-2026:93413 untuk varian RHEL 10 pada 1 November. Pengelola sistem diwajibkan untuk segera melakukan restart perangkat keras setelah merampungkan proses instalasi tambalan tersebut.
Pihak Canonical memberikan pernyataan resmi pada 2 November bahwa solusi pembaruan untuk sistem Ubuntu 22.04 LTS, 24.04 LTS, dan 26.04 LTS baru dialokasikan ke dalam repositori -proposed, yakni kanal pengujian internal opsional. Semua berkas pembaruan yang berada pada repositori tersebut dipastikan tidak akan terpasang secara otomatis pada mesin klien.
Canonical memilih untuk menjalankan pengujian validasi menyeluruh pada lebih dari 2.000 unit server dan perangkat bersertifikasi resmi sebelum akhirnya melepas berkas tersebut ke saluran distribusi pembaruan umum, dan hingga saat ini perusahaan sama sekali belum mencantumkan target tanggal peluncuran resminya.
Para pengelola server yang mendesak untuk memasang perbaikan sebelum ketersediaan umumnya hadir dapat mengaktifkan repositori -proposed secara mandiri lalu mengunduh kernel mutakhir dengan mengeksekusi perintah konfigurasi sistem yang berlaku.
Untuk memastikan apakah instalasi sistem yang dikelola telah berhasil memuat kernel yang aman, administrator disarankan membandingkan hasil eksekusi baris perintah uname -r dengan rincian nomor rilis yang tercantum pada tabel acuan resmi pembaruan penyedia platform.
Sistem terdahulu seperti Ubuntu 20.04, Ubuntu 18.04, serta varian 16.04 terkonfirmasi belum memperoleh paket perbaikan sama sekali. Edisi-edisi lama tersebut membutuhkan keikutsertaan skema Expanded Security Maintenance yang disediakan melalui langganan layanan Ubuntu Pro.
Varian kernel khusus seperti Cloud, sertifikasi FIPS, dan kernel berlatensi rendah real-time milik Ubuntu statusnya masih tercatat dalam tahap pengerjaan pada portal Ubuntu CVE dengan menyertakan target versinya, mengingat rilis resmi pada artikel blog Canonical saat ini baru mencakup kernel generik.
Langkah Mitigasi Sementara
Red Hat melansir petunjuk konfigurasi aturan nftables pada 30 Oktober yang berfungsi memblokir paket lalu lintas IPv4 TCP masuk yang menyertakan opsi IP tambahan. Skema pemfilteran tersebut sanggup membendung skenario pemicu bentrokan memori, namun tidak sepenuhnya menjamin proteksi total eksploitasi dan berisiko merusak beban kerja aplikasi yang membutuhkan dukungan opsi IPv4 asli, menurut keterangan Red Hat.
Filter jaringan ini hanya bekerja memproteksi mesin induk tempat aturan tersebut diterapkan secara aktif. Aliran paket data yang bersirkulasi langsung antar kontainer di dalam satu server fisik yang sama masih sanggup menembusnya, sebagaimana dijelaskan anggota tim kernel CIQ melalui milis oss-security.
Sejumlah pihak merekomendasikan penonaktifan fitur Multipath TCP (MPTCP) sebagai langkah pintas. Padahal letak gangguan berada pada alur IPv4 TCP mendasar, bukan pada arsitektur MPTCP itu sendiri, sehingga anjuran tersebut dinyatakan tidak memadai oleh Canonical. "Tim Keamanan Ubuntu meyakini bahwa pembaruan paket keamanan merupakan satu-satunya bentuk mitigasi yang tepat."
Status Eksploitasi di Lapangan
Hingga saat ini belum ditemukan vendor, badan CERT, maupun tim internal kernel CVE yang mendeteksi adanya kasus serangan nyata mengeksploitasi celah ini. Celah ini pun belum tercantum pada direktori Known Exploited Vulnerabilities milik lembaga CISA terhitung sejak pemutakhiran berkas pada 30 Oktober.
Anthropic pada 27 Oktober menyatakan bahwa model riset kecerdasan buatan internal Claude mereka yang belum dirilis publik berhasil merancang kode eksploitasi remote root fungsional terhadap peladen Linux yang mengaktifkan listener MPTCP, tanpa menuntut ketersediaan kredensial maupun keterlibatan interaksi pengguna sama sekali. Lewat skenario bukti konsep tersebut, pembocoran alamat kernel memerlukan durasi 48 menit dan penguasaan akses shell root tercapai 5 menit berikutnya. Pihak Anthropic memutuskan untuk tidak menyebarluaskan kode eksploitasi temuan mereka.
Sebuah kode pembuktian konsep awal yang sanggup membangkitkan race condition dan mendeteksi pantulan data memori yang telah terlepas pada paket SYN-ACK telah beredar luas di platform GitHub. Kode tersebut tidak memuat instruksi eksekusi jarak jauh.
Amazon Linux memberikan peringkat keparahan celah ini sebesar 8.1 dengan kategori Important, serta menegaskan bahwa dampak primer kerentanan memicu crash sistem disertai kemungkinan kerusakan memori. Distribusi besar seperti Debian, Oracle Linux, serta SUSE telah menuntaskan pembaruan tambalan mereka sejak Oktober. Amazon Linux sendiri merampungkan perbaikan seluruh paketnya dalam rentang 24 hingga 30 Oktober.
