CVE-2026-98432: la guerra dei CVSS sulla vulnerabilità TCP del kernel Linux

Una vulnerabilità use-after-free nel sottosistema IPv4 TCP del kernel Linux ha generato una spaccatura nei punteggi CVSS: 9.8 dal kernel team, 8.1 e 5.9 da Red Hat. Ubuntu e RHEL sono ancora senza fix, mentre Debian e SUSE hanno già rilasciato.

Una vulnerabilità use-after-free nel codice IPv4 TCP del kernel Linux, pubblicata il 15 ottobre 2026 con identificatore CVE-2026-98432, ha generato una frattura insolita nei sistemi di valutazione del rischio. Il Linux Kernel CVE Team assegna al difetto un punteggio di 9.8 su 10, classificandolo come critico. Red Hat, nello stesso arco temporale, riporta un range tra 5.9 e 8.1. La discrepanza non è accademica: al 29 ottobre 2026, Ubuntu e le distribuzioni enterprise Red Hat Enterprise Linux rimangono senza patch rilasciate, mentre Debian, Oracle Linux, SUSE e Amazon Linux hanno già distribuito i pacchetti correttivi.

Punti chiave

Il kernel team assegna CVSS 9.8 (critico) alla vulnerabilità UAF in tcp_v4_syn_recv_sock(), mentre Red Hat oscilla tra 5.9 e 8.1 a seconda del canale consultato
Il difetto è presente dal kernel 4.4 e risolto nelle versioni stabili 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 e 7.3, con fix upstream applicato il 5 ottobre 2026
Ubuntu classifica la vulnerabilità Priority High per tutte le release supportate ma non ha pubblicato pacchetti correttivi al 29 ottobre 2026
Anthropic ha dichiarato che il suo modello AI Claude ha generato un exploit funzionante in 53 minuti totali, ma né il record CVE né il commit di fix menzionano MPTCP, la tecnologia citata dall'azienda

Il meccanismo: una race condition nel three-way handshake IPv4

Il difetto risiede nella funzione tcp_v4_syn_recv_sock(), elemento centrale nella gestione delle connessioni TCP in ingresso. Durante il three-way handshake, il kernel trasferisce la proprietà del puntatore ireq->ireq_opt al socket figlio senza effettuarne una copia. Se un altro core di elaborazione processa contemporaneamente un SYN retransmitted riferito alla stessa request socket, la race condition consente la lettura di memoria già rilasciata.

La conseguenza immediata è un use-after-free nel percorso di rete più frequente del sistema operativo. Il fix, applicato il 5 ottobre 2026, sostituisce le chiamate dirette a kfree() con kfree_rcu() in inet_sock_destruct() e tcp_v4_reqsk_destructor(), garantendo una RCU grace period che impedisce l'accesso a strutture deallocate. Il record ufficiale CVE conferma che IPv6 non è affetto: tcp_v6_syn_recv_sock() duplica le opzioni invece di trasferirne la proprietà.

La spaccatura CVSS: 9.8 contro 8.1 contro 5.9

Il vettore CVSS:3.1 del kernel team — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — indica attacco remoto, complessità bassa, nessun privilegio richiesto, nessuna interazione utente, impatto integrale su confidenzialità, integrità e disponibilità. Red Hat, nel file advisory machine-readable, modifica un solo parametro: AC:H (attack complexity high), riducendo il punteggio a 8.1. Sulla pagina CVE dedicata, tuttavia, compare un ulteriore abbassamento a 5.9 con vettore C:N/I:N/A:H, limitando l'impatto alla sola disponibilità.

Amazon Linux posiziona il proprio punteggio a 7.0 per AL2023. La variabilità non dipende da interpretazioni del meccanismo — tutte le fonti convergono sulla race condition in tcp_v4_syn_recv_sock() — ma da criteri aziendali sulla probabilità di successo dell'attacco in condizioni reali e sulla definizione di impatto. Per chi gestisce infrastrutture a scala, la conseguenza operativa è una paralisi nella prioritizzazione: il 9.8 del kernel team impone azione immediata, il 5.9 di Red Hat suggerisce deferimento.

"Red Hat, Amazon, Oracle, and SUSE score the flaw between 5.9 and 8.1, lower than the kernel team's 9.8." — The Hacker News

Stato patch: due velocità nel mondo Linux

La distribuzione dei fix segge una geografia frammentata. Debian, Oracle Linux, SUSE e Amazon Linux hanno completato il rilascio. Ubuntu, con priorità High su tutte le release supportate (22.04 LTS, 24.04 LTS, 26.04 LTS, 26.10), riporta stato "Work in progress" o "None released" al 29 ottobre 2026. Red Hat Enterprise Linux 8, 9, 10 e OpenShift 4 mostrano stato "Fix deferred" con nessuna data di disponibilità indicata.

Il divario temporale tra fix upstream (5 ottobre) e assenza di pacchetti enterprise (almeno 24 giorni) espone una classe di sistemi vulnerabile per definizione: i server con servizi TCP in ascolto pubblico che non possono ricompilare il kernel autonomamente. Per i provider di cloud e i cluster Kubernetes, dove il kernel è condiviso tra tutti i container, l'assenza di patch significa che ogni pod esposto alla rete eredita la superficie di attacco del sistema sottostante.

L'exploit AI di Anthropic: claim senza codice verificabile

Il 27 ottobre 2026 Anthropic ha pubblicato una dichiarazione secondo cui il modello Claude, in risposta a un prompt iniziale, ha generato un exploit funzionante per ottenere esecuzione di comando come root. Secondo la fonte, il modello ha impiegato 48 minuti per effettuare il leak dell'indirizzo kernel e cinque minuti aggiuntivi per completare la catena di exploit. La tecnologia citata da Anthropic è MPTCP (Multipath TCP), estensione non menzionata nel record CVE né nel commit di fix.

Questa discrepanza è documentata esplicitamente dalla fonte primaria: "Neither the CVE record nor the fix mentions multipath TCP (MPTCP). The link between that feature and this bug comes from Anthropic's post." Nessun codice sorgente è stato pubblicato, nessuna versione kernel testata è stata specificata, nessuna riproduzione indipendente è al momento disponibile. Al 29 ottobre 2026, nessuna advisory vendor, nessun record CVE e nessuna lista CISA KEV riporta exploit in-the-wild.

Cosa fare adesso

Per le organizzazioni che operano su distribuzioni con patch disponibili (Debian, SUSE, Oracle Linux, Amazon Linux), la fonte indica l'aggiornamento del pacchetto kernel come unica via documentata. Per gli ambienti Ubuntu e RHEL, la fonte non specifica azioni correttive alternative oltre all'attesa del rilascio ufficiale.

Red Hat ha dichiarato esplicitamente che "mitigation for this issue is either not available or the currently available options do not meet the Red Hat Product Security criteria comprising ease of use and deployment, applicability to widespread installation base, or stability." Questo vincolo, pubblicato nell'advisory ufficiale, limita le opzioni operative per le installazioni enterprise.

La fonte non elenca contromisure alternative quali il blocco di IP options, la disabilitazione di MPTCP o configurazioni di firewall, e l'inserimento di tali misure nel processo decisionale non è supportato dai dati disponibili. La mancanza di mitigazioni accettabili secondo i criteri del vendor implica che il reboot su kernel corretto resta l'unico scenario di risoluzione completa documentato.

Per i cloud provider e le piattaforme Kubernetes, la struttura condivisa del kernel tra tutti i workload amplifica la dipendenza dal ciclo di rilascio della distribuzione sottostante, senza che la fonte indichi scorciatoie tecniche per isolare il rischio a livello di singolo container.

Perché la divergenza CVSS conta più del singolo numero

Il caso CVE-2026-98432 esemplifica un problema sistemico nella governance della vulnerabilità open source. Il kernel team valuta il difetto dal punto di vista del codice sorgente: la race condition è teoricamente sfruttabile, il vettore è remoto, l'impatto è totale. Red Hat introduce filtri di contesto: la complessità dell'attacco, la stabilità del sistema sotto patch, la fattibilità operativa. Entrambi i calcoli sono corretti entro i propri confini, ma la sovrapposizione sui sistemi di gestione del rischio genera frantumazione.

Per il responsabile della sicurezza che deve presentare una priorità al board, la frammentazione diventa un problema di traducibilità. Il 9.8 attiva procedure di incident response, il 5.9 no. L'assenza di exploit in-the-wild alimenta la cautela, ma la stessa assenza non dimostra l'impossibilità. La dichiarazione di Anthropic, priva di verifica indipendente, aggiunge rumore senza incrementare la conoscenza.

FAQ

Perché il punteggio CVSS cambia tra kernel team e Red Hat?

Il kernel team applica il vettore teorico del difetto nel codice sorgente. Red Hat introduce il parametro AC:H (attack complexity high) e, sulla pagina CVE, limita l'impatto a disponibilità (C:N/I:N/A:H), riducendo progressivamente il punteggio sulla base di criteri operativi proprietari.

L'exploit di Anthropic è riproducibile?

Non è stato pubblicato codice sorgente, non è stata indicata la versione kernel testata, e la tecnologia MPTCP citata da Anthropic non compare nel record CVE né nel commit di fix. La fonte non riporta riproduzioni indipendenti al 29 ottobre 2026.

IPv6 è vulnerabile allo stesso modo?

No. Secondo il record ufficiale CVE, tcp_v6_syn_recv_sock() duplica le opzioni invece di trasferirne la proprietà, eliminando la condizione di race che genera l'use-after-free nel percorso IPv4.

Fonti

Fonti e riferimenti

Ricevi DeafLetter