Pembaruan kernel resmi guna mengatasi kerentanan use-after-free pada kode IPv4 TCP kernel Linux kini sudah diluncurkan untuk platform Red Hat Enterprise Linux 8, 9, serta 10. Di sisi lain, paket perbaikan dari Ubuntu bagi tiga rilis dukungan jangka panjang terbarunya saat ini masih tertahan di saluran pengujian opsional tanpa adanya kepastian tanggal peluncuran ke kanal pembaruan reguler.

Celah keamanan yang diidentifikasi dengan kode CVE-2026-98432 ini dapat diakses secara langsung oleh penyerang jarak jauh tanpa autentikasi, serta berpotensi besar memicu eksekusi kode jarak jauh (RCE), menurut konfirmasi dari pihak Red Hat dan Canonical.

Tim CVE internal kernel Linux menetapkan tingkat keparahan cacat ini pada angka 9.8 dari skala 10 pada metrik CVSS. Red Hat, yang awalnya sempat memberikan peringkat Moderate dengan skor 5.9, telah merevisi penilaiannya menjadi 9.8 dan sekarang melabelinya sebagai kategori Kritis. Kerentanan ini telah bersarang di dalam sistem operasi sejak peluncuran Linux 4.4, sementara perbaikan hulu (upstream) sebenarnya telah mendarat sejak bulan Oktober.

Bagaimana Celah Ini Bekerja

Ketika sebuah mesin peladen menerima permintaan sambungan IPv4 TCP yang masuk, kernel sistem langsung menyalurkan opsi IP dari permintaan awal menuju soket baru tanpa melakukan proses penyalinan data. Apabila pihak klien mengirimkan kembali permintaan sambungannya sementara prosesor lain masih membaca rangkaian opsi tersebut, kernel berisiko membaca blok memori yang sebenarnya sudah dibebaskan.

Aktor ancaman dapat memicu kondisi perlombaan data (race condition) tersebut cukup dengan mengirimkan paket permintaan sambungan yang memuat opsi IPv4 Record Route atau Timestamp ke sembarang port TCP yang sedang aktif mendengarkan. Penyerangan ini tidak membutuhkan akses login sama sekali. Sementara itu, jalur utama protokol IPv6 dipastikan tidak terpengaruh oleh kelemahan ini.

Red Hat secara resmi menggulirkan pembaruan RHSA-2026:93414 untuk RHEL 8, RHSA-2026:93412 untuk RHEL 9, serta RHSA-2026:93413 untuk RHEL 10 pada 1 November. Pengguna diwajibkan melakukan pemulaian ulang sistem (reboot) setelah proses pemasangan pembaruan tersebut selesai dilakukan.

Canonical menyatakan pada 2 November bahwa solusi tambalan bagi distribusi Ubuntu 22.04 LTS, 24.04 LTS, dan 26.04 LTS masih berada pada kantong direktori -proposed, yaitu kanal pengujian berbasis persetujuan pengguna. Seluruh paket perangkat lunak di dalam kanal tersebut tidak akan terpasang secara otomatis ke sistem.

Canonical menjalankan serangkaian pengujian pembaruan kernel pada lebih dari 2.000 perangkat keras dan peladen bersertifikat sebelum mendistribusikannya secara luas ke saluran rilis stabil, dan hingga kini belum ada penetapan jadwal peluncuran resmi.

Bagi para administrator sistem yang memerlukan pembaruan ini sebelum diedarkan secara umum dapat mengaktifkan repositori -proposed dan memasang paket pembaruan kernel dengan mengeksekusi perintah yang ditentukan.

Guna memastikan apakah sistem operasi telah menjalankan kernel yang telah diamankan, pengelola cukup mencocokkan hasil keluaran perintah uname -r dengan rincian nomor versi yang tercantum pada tabel informasi rilis.

Versi lawas seperti Ubuntu 20.04, 18.04, dan 16.04 tercatat belum menerima perbaikan sama sekali. Edisi lama ini membutuhkan skema Expanded Security Maintenance yang tersedia melalui langganan Ubuntu Pro.

Varian kernel khusus seperti Cloud, FIPS, serta real-time untuk sistem Ubuntu masih berstatus dalam pengerjaan sebagaimana tertera pada halaman rilis CVE Ubuntu dengan daftar target versi, namun artikel blog resmi Canonical hanya mencakup kernel standar.

Langkah Mitigasi Sementara

Red Hat menerbitkan panduan aturan nftables pada 30 Oktober yang berfungsi membuang paket masuk IPv4 TCP yang membawa opsi IP tambahan. Aturan penyaringan ini mampu memblokir metode pemicu race condition yang telah diketahui, tetapi tidak dapat menangkal eksploitasi seutuhnya serta berisiko mengganggu beban kerja aplikasi yang membutuhkan parameter opsi IPv4, jelas Red Hat.

Penyaringan lalu lintas tersebut hanya bekerja efektif pada mesin host tempat aturan dimuat. Komunikasi data antarkontainer yang berjalan pada host yang sama masih dapat melewati filter ini, ungkap salah seorang anggota tim kernel CIQ melalui milis oss-security.

Beberapa sumber menyarankan langkah penonaktifan Multipath TCP (MPTCP) sebagai solusi pencegahan sementara. Padahal letak kelemahan berada pada alur kerja IPv4 TCP, bukan di dalam MPTCP, sehingga anjuran tersebut dianggap kurang memadai oleh Canonical. "The Ubuntu Security Team believes that security updates are the only appropriate mitigation."

Status Eksploitasi Saat Ini

Hingga saat ini belum ada laporan serangan nyata dari vendor, tim tanggap insiden (CERT), maupun tim CVE kernel Linux. Celah ini juga belum terdaftar di katalog Kerentanan yang Dieksploitasi (KEV) milik CISA hingga terbitan 30 Oktober.

Anthropic pada 27 Oktober mengungkapkan bahwa model riset internal Claude berhasil merancang kode eksploitasi root jarak jauh pada peladen Linux berkemampuan MPTCP tanpa kredensial dan tanpa interaksi pengguna. Pada simulasi konsep tersebut, pembocoran alamat kernel memakan waktu 48 menit dan pembukaan shell root tuntas dalam 5 menit berikutnya. Anthropic memutuskan untuk tidak mempublikasikan kode eksploitasi itu.

Kode pembuktian konsep awal yang memicu race condition serta mendeteksi pemantulan memori bebas oleh kernel dalam paket SYN-ACK telah beredar di GitHub, tanpa menyertakan fungsi eksekusi kode berbahaya.

Amazon Linux menilai celah ini dengan skor 8.1 berstatus Important, menyatakan dampak utamanya adalah crash dengan kemungkinan kerusakan memori. Debian, Oracle Linux, dan SUSE telah melepas tambalan pada Oktober, sedangkan Amazon Linux menambal seluruh paket antara 24 hingga 30 Oktober.