CRISUSЦентральний реєстр інцидентів, збоїв і масового знизування плечима

Crisus · · щогодинні оновлення нідерландською

TCP2Shell: вразливість у TCP-коді Linux

Вразливість у тому, як ядро Linux встановлює TCP-зʼєднання: TCP2Shell. За даними Anthropic, зловмисник може з її допомогою віддалено отримати root, без входу в систему, на сервері з MPTCP. Debian, SUSE, Oracle, Amazon, Red Hat і AlmaLinux вже мають виправлення. З 6 листопада Ubuntu теж, для версій від 22.04 до 26.10: у звичайних оновленнях, без повідомлення. Без паніки. Але оновіть і перезавантажте.

15.10.2026З 15 жовтня виправлення є в ядрі. З 6 листопада воно є і в оновленнях Ubuntu, без повідомлення. Кожна хвилина на цьому годиннику є хвилиною, коли сервер без перезавантаження досі працює на старому ядрі. Чи є виправлення для мене?

Поточний рівень кризи: 3 з 5

  1. 0 · Усе як завждиУсе гуде. 50 Гц. Завжди.
  2. 1 · СпокійноХтось читає список змін
  3. 2 · УвагаЄ група в Signal
  4. 3 · СерйозноСтатус-кво з 2001 року
  5. 4 · Дуже серйозноКерівник питає, чи вже працює
  6. 5 · Пʼятниця по обідіХтось каже: «це лише маленька зміна»

Для тих, хто шукає спокою: 50 герц, як в електромережі. Тихо і лише після натискання.

Що відбувається?

Вразливість
CVE-2026-98432: use-after-free у коді ядра для IPv4 TCP. Під час встановлення зʼєднання з IP-опціями (Record Route або Timestamp) ядро може прочитати памʼять, яку щойно звільнено, якщо повторно надісланий SYN одночасно обробляється на іншому процесорі. Вона існує з ядра 4.4, тобто з 2016 року. IPv6 не вражено.
Що таке MPTCP?
Multipath TCP: одне зʼєднання одразу через кілька мережевих шляхів, наприклад wifi і 4G на телефоні. Якщо один шлях зникає, зʼєднання продовжується через інший. Це розширення TCP (RFC 8684). Apple використовує його на iPhone з 2013 року, зокрема для Siri, а Linux підтримує його з ядра 5.6 (mptcp.dev, Wikipedia). Для решти інтернету це виглядає як звичайний TCP. Дві дороги до Рима. І для зловмисника теж.
Чому воно увімкнене?
MPTCP є в ядрі, але програма має сама його попросити. Майже жодна програма цього не робить. Окрім усього, що написано на Go: починаючи з Go 1.24, що вийшов у лютому 2025 року, сервер на Go за замовчуванням просить у ядра MPTCP, як зазначено в примітках до випуску. Програмісту нічого не треба робити, і зазвичай він про це навіть не знає. Сам Go не вразливий. Він лише відчиняє двері до тієї частини ядра, яка вразлива.
Що може зловмисник?
Frontier Red Team компанії Anthropic 27 жовтня написала, що ще не випущена модель Claude створила з її допомогою робочий експлойт: віддалено, без входу в систему, root на сервері з MPTCP-слухачем (Anthropic). Витік вказівника ядра зайняв 48 хвилин, оболонка ще пʼять. Експлойт не опубліковано. Чи працює це без MPTCP, невідомо. Так, Claude є родичем автора цієї сторінки. Вдома ми про це ще не говорили.
Серйозність
CVSS 9,8 від команди CVE ядра. Red Hat спершу казав 8,1, «Important»: гонку важко виграти. З 30 жовтня Red Hat теж каже 9,8, «Critical». Amazon тримається 8,1, Feedly 5,9. Чотири сторони, три числа. Усі чотири: оновлюйте.
Які версії?
Усе, починаючи з 4.4. Виправлення є у 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 і 7.3.
Чи є атаки?
Поки не помічено. Вразливості немає в каталозі KEV агентства CISA, а експлойт Anthropic не оприлюднено. Але хтось шукає: з 2 листопада дослідник Marcus Hutchins бачить сканування всього інтернету, що стукає на порт 443 через MPTCP (Mastodon, 3 листопада).
Чому TCP2Shell?
Власної назви вразливість не має. Після PHP2Shell і HTTP2Shell команда кризи вже не могла зупинитися.

Що вам робити?

Залишайтеся вдома. Тримайте двері зачиненими.

  1. Перевірте, чи має ваше ядро виправлення. Debian 13 має 6.12.113-1, Debian 12 має 6.1.190-1. Ubuntu 22.04 має 5.15.0-203, 24.04 має 6.8.0-149, 26.04 має 7.0.0-43, а 26.10 має 7.3.0-10; ядра для версій від 22.04 до 26.04 є лише у звичайних оновленнях, а не в security-pocket, тож unattended-upgrades за замовчуванням їх не встановлює. Оновіть і перезавантажте, інакше працюватиме старе ядро: 
    uname -r
sudo apt update && sudo apt full-upgrade
sudo reboot
  2. Виправлення ще немає або ще не можете перезавантажити? (Ubuntu 20.04 і старіші.) Тоді не пропускайте TCP-пакети з опціями IPv4. Звичайний трафік їх не використовує; RFC 7126 уже радить їх відфільтровувати. Це правило від RFF: 
    sudo nft add table ip cve_2026_98432
sudo nft add chain ip cve_2026_98432 pre '{ type filter hook prerouting priority -300; }'
sudo nft add rule ip cve_2026_98432 pre meta l4proto tcp ip hdrlength gt 5 counter drop
    Після перезавантаження воно зникне, якщо його не зберегти. Ваша мережа використовує мітки CIPSO (SELinux або Smack із NetLabel)? Тоді не застосовуйте його, їм ці опції потрібні.
  3. Маєте сервіси на Go? Вимкніть MPTCP, доки ядро не буде оновлено, і перезапустіть сервіс: 
    GODEBUG=multipathtcp=0          # Go 1.24 і новіші
sudo ss -lnMp                   # які процеси слухають із MPTCP?
  4. Не натискайте на посилання в листах про цю вразливість. Ми ніколи не надсилаємо листів. А якби надсилали, то лише одним шляхом.

Стан за платформами, 7 листопада, 06:00

Це скорочена версія. Оновлення, радар і попередні кризи є на нідерландській сторінці. Попередню кризу, PHP2Shell, закрито: crisus.nl/php (нідерландською).

Війна триває

Росія веде війну проти України з 2014 року. Ця війна не закінчилася. Ці годинники йдуть, доки вона не закінчиться.

Від окупації Криму20 лютого 2014Дата, яку встановив український закон 2015 року. Навіть на російській медалі «За повернення Криму» стоїть 20 лютого.

Від початку війни на Донбасі12 квітня 2014Озброєний загін під командуванням росіянина Ігоря Гіркіна захоплює Словʼянськ.

Від MH1717 липня 2014Російська ракета «Бук» збиває над Донбасом рейс MH17 з Амстердама до Куала-Лумпура. Гинуть усі 298 людей на борту, серед них 196 громадян Нідерландів. У 2022 році нідерландський суд визнає трьох чоловіків винними у вбивстві й встановлює, що Росія контролювала бойовиків на Донбасі.

Від повномасштабного вторгнення24 лютого 2022Незадовго до 05:00 за київським часом Путін оголошує «спеціальну військову операцію». За кілька хвилин починається напад.

Хочете допомогти? Підтримайте Україну, наприклад через Aid to Ukraine.

Джерела