Eine schwerwiegende Sicherheitslücke im Linux-Kernel ermöglicht unter bestimmten Voraussetzungen die Übernahme eines Systems aus der Ferne. Die unter CVE-2026-98432 geführte Schwachstelle wird vom Sicherheitsteam des Linux-Kernels mit 9,8 von 10 möglichen Punkten bewertet. Besondere Aufmerksamkeit erhält der Fall, weil das KI-Modell Claude von Anthropic einen funktionierenden Exploit für die Lücke entwickelt hat.
Die Schwachstelle befindet sich in der Verarbeitung von TCP-Verbindungen über IPv4. Durch einen Fehler bei der Speicherverwaltung kann es passieren, dass der Kernel auf bereits freigegebenen Speicher zugreift. Angreifer können diesen Fehler mit speziell präparierten Netzwerkpaketen auslösen. Die möglichen Folgen reichen von Systemabstürzen bis zur Ausführung von Schadcode mit Root-Rechten.
Claude demonstriert Angriff aus der Ferne
Am 27. Oktober berichtete Anthropic, dass Claude einen Angriff entwickelt habe, mit dem sich entsprechend verwundbare Linux-Server ohne Zugangsdaten und ohne Mitwirkung der Benutzer übernehmen lassen. Voraussetzung für den demonstrierten Angriff war ein Server, der Multipath TCP (MPTCP) verwendet. Ob sich auch Systeme ohne diese Funktion auf vergleichbare Weise übernehmen lassen, ist bislang ungeklärt.
In den Tests benötigte der Angriff rund 53 Minuten. Anthropic veröffentlichte weder den vollständigen Exploit-Code noch genaue Angaben zur verwendeten Kernel-Version. Hinweise auf bereits erfolgte Angriffe in freier Wildbahn liegen bislang nicht vor.
Nicht alle Distributionen bereits abgesichert
Obwohl die Kernel-Entwickler den Fehler bereits Anfang Oktober behoben haben und die Korrektur in aktuelle stabile Kernel-Versionen eingeflossen ist, steht sie noch nicht für alle Distributionen zur Verfügung.
Debian, SUSE, Oracle Linux und Amazon Linux haben zumindest für einen Teil ihrer Kernel aktualisierte Pakete bereitgestellt. Bei Ubuntu und Red Hat Enterprise Linux (RHEL) stehen Korrekturen dagegen noch aus. Betroffen sind unter anderem RHEL 8, 9 und 10 sowie mehrere Ubuntu-Versionen einschließlich der aktuellen LTS-Ausgaben.
Red Hat hat die Schwachstelle inzwischen in einem gesonderten Sicherheitshinweis als kritisch eingestuft und arbeitet an entsprechenden Updates. Bis dahin empfiehlt das Unternehmen, bestimmte Netzwerkpakete über die Firewall zu filtern. Das reduziert das Risiko, ersetzt jedoch keinen Kernel-Patch. Administratoren sollten deshalb die Sicherheitshinweise ihrer Distribution verfolgen und verfügbare Kernel-Updates zeitnah installieren. Besonders wichtig ist dies für Server, die Dienste über das Internet bereitstellen.
Der Fall verdeutlicht zugleich, welche Fortschritte KI-Modelle bei der Sicherheitsanalyse von Software machen. Die Fähigkeiten lassen sich sowohl zum Aufspüren und Schließen von Sicherheitslücken als auch zur Entwicklung funktionsfähiger Angriffswerkzeuge einsetzen.
