Eine schwerwiegende Schwachstelle im Linux-Betriebssystem kann Angreifern unter bestimmten Bedingungen den Zugriff auf Server aus der Ferne ermöglichen. Die als CVE-2026-98432 erfasste Sicherheitslücke erreicht einen Schweregrad von 9,8 auf einer Skala bis 10. Sicherheitsbehörden und Hersteller warnen vor den möglichen Folgen. Während für mehrere Linux-Versionen bereits Updates bereitstehen, sind andere Systeme weiterhin auf zusätzliche Sicherheitskorrekturen angewiesen.
Die Linux-Sicherheitslücke CVE-2026-98432 befindet sich im Netzwerkbereich des Linux-Kernels. Dabei handelt es sich um den Kern des Betriebssystems, der unter anderem die Kommunikation zwischen Hardware, Software und Netzwerkdiensten steuert.
Nach Angaben der Linux-Entwickler entsteht der Fehler bei der Verarbeitung bestimmter TCP-Verbindungen über IPv4. Durch einen sogenannten Use-after-Free-Fehler kann ein Speicherbereich weiterhin angesprochen werden, obwohl er bereits freigegeben wurde. Unter bestimmten Bedingungen lässt sich dadurch der Arbeitsspeicher des Systems beschädigen.
Mögliche Folgen sind Serverabstürze, die Offenlegung von Speicherinhalten und die Ausführung fremder Programme. Für einen Angriff ist nicht grundsätzlich eine vorherige Anmeldung am betroffenen System erforderlich.
Die Schwachstelle wurde mit einer Änderung eingeführt, die bereits seit Linux-Kernel 4.4 vorhanden ist. Damit reicht ihre technische Vorgeschichte bis ins Jahr 2016 zurück. Allerdings bedeutet die Versionsangabe nicht, dass jedes Gerät mit einer neueren Kernel-Version noch verwundbar ist. Entscheidend ist, ob die betreffende Sicherheitskorrektur bereits enthalten ist.
Betroffen sein können insbesondere Linux-Server und Cloud-Systeme, die eingehende TCP-Verbindungen verarbeiten. Red Hat nennt ausdrücklich die Versionen 8, 9 und 10 seiner Enterprise-Linux-Distribution sowie die Containerplattform OpenShift. Auch für Amazon Linux, Debian, Ubuntu und SUSE liegen Sicherheitsbewertungen beziehungsweise Update-Informationen vor.
Ein pauschaler Rückschluss auf sämtliche Geräte, die Linux verwenden, ist nicht möglich. Das tatsächliche Risiko hängt von der eingesetzten Kernel-Version, vorhandenen Sicherheitskorrekturen und der Netzwerkkonfiguration ab.
Besondere Aufmerksamkeit erhielt die Schwachstelle durch eine Veröffentlichung des KI-Unternehmens Anthropic vom 27. Oktober 2026. Das Unternehmen erklärte, mithilfe eines internen KI-Modells einen funktionsfähigen Angriff auf einen Linux-Server entwickelt zu haben.
Nach Darstellung von Anthropic gelang es in einer kontrollierten Testumgebung, einen Server mit Multipath TCP aus der Ferne anzugreifen und schließlich Befehle mit Administratorrechten auszuführen. Dafür sei weder eine Anmeldung noch eine Interaktion durch den angegriffenen Nutzer notwendig gewesen.
In dem beschriebenen Versuch dauerte es zunächst rund 48 Minuten, Informationen über die Speicheranordnung zu gewinnen. Weitere fünf Minuten seien bis zur Ausführung eines Befehls mit Root-Rechten vergangen.
Die Demonstration zeigt das mögliche Ausmaß der Schwachstelle unter bestimmten Voraussetzungen. Ob sich der Angriff mit vergleichbarer Zuverlässigkeit auf andere Systemkonfigurationen übertragen lässt, ist bislang nicht abschließend geklärt.
Auch deutsche Sicherheitsbehörden befassen sich mit der Schwachstelle. Der Warn- und Informationsdienst des Bundesamtes für Sicherheit in der Informationstechnik führt sie im Sicherheitshinweis WID-SEC-2026-4008.
Die Cybersicherheitsagentur Baden-Württemberg veröffentlichte am 30. Oktober eine eigene Warnung. Sie stuft die Schwachstelle als erhebliches Sicherheitsrisiko ein und empfiehlt insbesondere Betreibern öffentlich erreichbarer Linux-Server, ihre Systeme zu überprüfen.
Ein erfolgreicher Angriff könnte nach Einschätzung der Landesbehörde zu Datenabflüssen, Manipulationen oder Ausfällen wichtiger Dienste führen.
Bestätigte Fälle einer aktiven Ausnutzung durch Angreifer waren zunächst nicht bekannt. Auch Amazon Web Services erklärte in seinem am 1. November aktualisierten Sicherheitshinweis, keine Erkenntnisse über entsprechende Angriffe außerhalb kontrollierter Tests zu haben.
Für mehrere betroffene Linux-Systeme stehen inzwischen Sicherheitsupdates bereit. Amazon Web Services bietet korrigierte Kernel-Pakete für Amazon Linux 2 und Amazon Linux 2023 an. Ein entsprechender Sicherheitshinweis zu Amazon Linux 2 wurde am 2. November aktualisiert.
Auch Debian führt in seiner Sicherheitsübersicht korrigierte Kernel-Pakete für die Versionen Bookworm und Trixie auf. Die Linux-Entwickler selbst haben die Schwachstelle ebenfalls behoben und Korrekturen in unterstützte Kernel-Zweige übernommen.
Bei anderen Distributionen unterscheidet sich der Stand. Ubuntu führte in seiner zuletzt am 30. Oktober aktualisierten Übersicht mehrere Versionen, darunter Ubuntu 22.04 LTS und 24.04 LTS, noch als verwundbar beziehungsweise in Bearbeitung. Red Hat arbeitet ebenfalls an weiteren Sicherheitskorrekturen für betroffene Produkte.
Die Hersteller empfehlen, verfügbare Sicherheitsupdates zeitnah zu installieren. Bei regulären Kernel-Aktualisierungen ist anschließend ein Neustart erforderlich, damit die korrigierte Version tatsächlich verwendet wird.
Bis entsprechende Updates verfügbar sind, können zusätzliche Einschränkungen des Netzwerkverkehrs das Risiko verringern. Red Hat empfiehlt beispielsweise, bestimmte IPv4-Pakete mit zusätzlichen IP-Optionen zu filtern. Auch die Deaktivierung von Multipath TCP kann bestimmte Angriffsmöglichkeiten begrenzen.
Solche Maßnahmen ersetzen jedoch keine vollständige Sicherheitskorrektur. Betreiber sollten deshalb den Update-Status ihrer Linux-Distribution prüfen und sicherstellen, dass die behobene Kernel-Version tatsächlich aktiv ist.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu