חולשה קריטית בליבת Linux: חבילות TCP מתוזמנות יכולות להפיל שרת או להשתלט עליו

חולשה חדשה בליבת Linux מאפשרת לתוקף מרוחק לשלוח חבילות רשת מתוזמנות ולפגוע בזיכרון של השרת. החולשה, CVE-2026-98432, קיימת בליבת Linux מאז גרסה 4.4, ומדורגת 9.8 מתוך 10. חוקרים של Anthropic הראו שאפשר להפוך אותה להשתלטות מלאה על השרת, בלי סיסמה ובלי פעולה של אף משתמש. ב-30 באוקטובר עוד לא היה עדכון בחלק מההפצות הנפוצות.

איפה הבאג בליבת Linux ומי חשוף

CVE הוא מספר זיהוי רשמי לחולשת אבטחה. הבאג הזה יושב בקוד שמקים חיבורי TCP חדשים ב-IPv4. זה השלב שבו השרת מקבל בקשת חיבור ומחזיר תשובה. כשמגיעה בקשה עם אפשרויות IP מיוחדות, הליבה שומרת אותן בזיכרון. אם בקשה חוזרת מגיעה באותו רגע ממש, הליבה עלולה לקרוא זיכרון שכבר שוחרר. מצב כזה נקרא use-after-free, ותוקף מיומן יכול לנצל אותו כדי להריץ קוד.

לפי דף האבטחה של Ubuntu, הגרסאות 22.04, 24.04, 26.04 ו-26.10 עדיין פגיעות, והתיקון בעבודה. גם 20.04, 18.04 ו-16.04 מסומנות פגיעות. Red Hat מדרגת את החולשה כקריטית ומציינת שגרסאות 8, 9 ו-10 של RHEL פגיעות, בעוד 6 ו-7 לא. Rocky Linux 8, 9 ו-10 פגיעות גם הן. Debian כבר פרסמה ליבות מתוקנות: 6.1.190-1 ל-Debian 12 ו-6.12.113-1 ל-Debian 13. מחשבי Mac לא מושפעים, כי הם לא רצים על ליבת Linux.

איך מודל AI הפך באג של מרוץ תהליכים להשתלטות

מה שהפך את הבאג לחדשות הוא ההדגמה של צוות האבטחה של Anthropic. לפי BleepingComputer, מודל מחקר פנימי של החברה, שעוד לא שוחרר, בנה ניצול מלא. ההדגמה פגעה בשרת שמאזין לחיבורי MPTCP, גרסה של TCP שמאפשרת לחיבור אחד לעבור בכמה נתיבי רשת במקביל. לפי Anthropic, שלב הדליפה של כתובת בזיכרון הליבה לקח 48 דקות. אחריו עברו עוד חמש דקות עד להרצת פקודות כ-root, המשתמש עם ההרשאות המלאות במערכת.

הנקודה המדאיגה היא שניסיון כושל לא מפיל את השרת. החיבור פשוט נכשל, והתוקף מנסה שוב. כלומר, מי שמנטר רק קריסות לא יראה את המתקפה מגיעה. Anthropic דיווחה על הבאג בגילוי מתואם, והתיקון כבר נכנס לליבה הרשמית ולענפים הנתמכים. ההפצות הן אלה שעוד צריכות להשלים את העבודה.

למה כיבוי MPTCP לא מגן על ליבת Linux

אפשר לחשוב שמי שלא משתמש ב-MPTCP מוגן. זה לא נכון. חברת CIQ, שמפתחת גרסה מסחרית של Rocky Linux, בדקה את זה. היא כיבתה את MPTCP בהגדרות הליבה, ושרתי TCP רגילים עדיין הגיבו לבקשה שהגיעה עם אפשרויות IP. כלומר, הקוד הפגיע נגיש גם בלי MPTCP. ההדגמה המלאה עבדה עם MPTCP, אבל הבאג עצמו לא תלוי בו.

עוד פרט שכדאי לבדוק: לפי BleepingComputer, מגרסה 1.24 של שפת Go, שרתי TCP שנכתבו בה מפעילים MPTCP אוטומטית כשהליבה תומכת בזה. ייתכן שיש לכם שירות כזה בלי לדעת. לפי CIQ, נכון ל-30 באוקטובר החולשה לא הופיעה ברשימת החולשות המנוצלות של CISA, ואין דיווח על ניצול בפועל. אבל אחרי שהשיטה פורסמה, החלון הזה עלול להיסגר מהר.

הציון של החולשה לא אחיד בין הגופים. צוות ה-CVE של הליבה ו-Red Hat נותנים 9.8. לפי CIQ, הדירוג במעלה הזרם הוא 8.1. ההבדל נובע מהשאלה כמה קשה בפועל להשיג הרצת קוד, ולא משנה את המסקנה: צריך לעדכן.

עוד ב-GEEKLIK: PHP2Shell: עדכון חירום ל-PHP סוגר שתי פרצות שמאפשרות להשתלט על שרתי אתרים

מה הלאה

Ubuntu ו-Rocky Linux צפויות לפרסם ליבות מתוקנות בימים הקרובים. שווה לעקוב אחרי דפי האבטחה שלהן ולא לחכות לעדכון האוטומטי. המקרה הזה מצטרף לשורה של חולשות שמודלי AI מאתרים ומנצלים מהר מאוד. מבחינת מנהלי שרתים, הזמן בין פרסום תיקון לבין ניסיונות ניצול רק מתקצר.