Was ist passiert?
Im IPv4-TCP-Stack des Linux-Kernels steckt seit Kernel-Version 4.4 ein Fehler beim Aufbau von Verbindungen. Die Kernel-Entwickler haben ihn Anfang Oktober 2026 behoben, die Schwachstelle wird als CVE-2026-98432 geführt und von Ubuntu und der NVD mit CVSS 9.8 bewertet. Am 27. Oktober veröffentlichte Anthropic, dass sein KI-Modell Claude dafür einen funktionierenden Root-Exploit geschrieben hat. Seitdem ziehen die Distributionen mit Updates nach, bei mehreren großen Anbietern sind sie noch in Arbeit.
| Betroffenes Produkt | Linux-Kernel, IPv4-TCP-Verbindungsaufbau |
| Betroffene Versionen | ab Kernel 4.4 (IPv6 nicht betroffen) |
| Schweregrad | CVSS 9.8 (Kernel-CNA, NVD, Ubuntu); Red Hat, SUSE und Oracle werten 8.1 |
| Gepatchte Kernel | 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3 |
| Folge | Absturz, Auslesen von Kernel-Speicher bis hin zur Code-Ausführung mit Root-Rechten |
Warum die Lücke so gefährlich ist
Der Fehler ist eine sogenannte Race Condition mit Use-after-free: Beim Verbindungsaufbau wird ein Speicherbereich weitergereicht, ohne ihn zu kopieren. Wer das richtige Timing trifft, kann diesen Speicher manipulieren. Drei Eigenschaften machen das kritisch:
- Keine Anmeldung nötig: Ein Angreifer muss nur Netzwerkpakete an den Server schicken können.
- Kein Absturz bei Fehlversuchen: Ein verlorenes Rennen lässt nur den Handshake scheitern, nicht das System. Angreifer können es also beliebig oft probieren.
- Root-Zugriff in unter einer Stunde: Im Proof of Concept dauerte es 48 Minuten bis zum Leak einer Kernel-Adresse und weitere 5 Minuten bis zur Root-Shell.
Wer ist betroffen?
Praktisch jeder Linux-Server mit IPv4, der noch keinen gepatchten Kernel hat. Das betrifft Webserver, Shop-Systeme wie Shopware, CMS-Installationen, Datenbank- und Mailserver, Container-Hosts und Cloud-Instanzen. Besonders exponiert sind Server mit einem Multipath-TCP-Listener: Genau diese Konstellation hat der KI-Exploit angegriffen. Anwendungen in Go ab Version 1.24 aktivieren MPTCP standardmäßig.
Der Patch-Stand ist je nach Distribution sehr unterschiedlich (Stand Ende Oktober 2026):
- Debian: Trixie und Bookworm sind gepatcht.
- Oracle Linux 7–10: gepatcht.
- Amazon Linux 2023: Kernel 6.18 und 6.12 gepatcht, weitere Pakete folgen.
- SUSE: Leap 16.0 und Linux Micro 6.2 gepatcht, SLES-Versionen teils noch im Test.
- Ubuntu 22.04 bis 26.10: Updates in Arbeit. 16.04 bis 20.04 sind betroffen.
- Red Hat Enterprise Linux 8, 9, 10: betroffen, Updates werden laut Red Hat beschleunigt bereitgestellt.
Fluch und Segen: KI findet Lücken schneller als je zuvor
Dieser Fall zeigt eine neue Realität in der IT-Sicherheit. Der Fehler steckte seit Kernel 4.4 im Code, also rund zehn Jahre, in einer der meistgeprüften Codebasen der Welt. Gefunden und in einen funktionierenden Angriff übersetzt wurde er jetzt mithilfe von KI.
Der Segen: Mehr Lücken werden gefunden und geschlossen
Wir sind froh, dass KI hilft, solche Fehler aufzudecken. Anthropic hat mit seinem Modell nach eigenen Angaben kritische Schwachstellen in weit verbreiteter Software gefunden, allein in Chrome 62 CVEs. Alle wurden verantwortungsvoll an die Hersteller gemeldet und gepatcht, bevor Details öffentlich wurden. Jede gefundene Lücke ist eine Lücke weniger, die Kriminelle im Verborgenen ausnutzen können.
Der Fluch: Das Zeitfenster zwischen Veröffentlichung und Angriff schrumpft
Dieselbe Technik steht zunehmend auch Angreifern zur Verfügung. Anthropic schreibt selbst, dass Modelle solche Exploits heute „mit wenig menschlichem Zutun“ erstellen können. Früher war das wenigen Spezialisten-Teams vorbehalten. Für Betreiber bedeutet das:
- Mehr Lücken in kürzerer Zeit: Die Zahl veröffentlichter kritischer Schwachstellen steigt, der Patch-Rhythmus muss mithalten.
- Schnellere Angriffe: Ist eine Lücke einmal bekannt, kann aus einem Patch-Diff schnell ein Angriff werden.
- Altlasten werden zum Risiko: Server, die „einfach laufen“ und seit Monaten keinen Neustart gesehen haben, sind das bevorzugte Ziel.
Was jetzt zu tun ist
- Kernel-Version prüfen: Stellen Sie mit uname -r fest, welcher Kernel läuft, und gleichen Sie ihn mit den Sicherheitshinweisen Ihrer Distribution ab. Achtung: Ein installiertes Update wirkt erst nach dem Neustart.
- Updates sofort einspielen und neu starten: Wo ein gepatchter Kernel verfügbar ist, gilt: installieren, Neustart planen, Funktion prüfen. Das betrifft auch Container-Hosts, denn Container teilen sich den Kernel des Hosts.
- Workarounds nur als Überbrückung nutzen: Red Hat empfiehlt eine nftables-Regel, die IPv4-TCP-Pakete mit IP-Optionen verwirft. Laut Red Hat senkt das das Risiko, verhindert den Angriff aber nicht vollständig. MPTCP abzuschalten reicht allein nicht aus.
- Systeme beobachten: Überwachen Sie ungewöhnliche Verbindungsmuster, viele abgebrochene Handshakes und unerwartete Prozesse mit Root-Rechten.
- Patch-Prozess dauerhaft aufstellen: Legen Sie fest, wer Sicherheitsmeldungen beobachtet, wie schnell kritische Updates eingespielt werden und wann Wartungsfenster für Neustarts sind.
Untätigkeit kann teuer werden: Was die DSGVO von Betreibern verlangt
Nach Art. 32 DSGVO* müssen Betreiber angemessene technische Maßnahmen nach dem Stand der Technik treffen. Wer bekannte kritische Lücken trotz verfügbarer Updates offen lässt, riskiert bei einem Vorfall Meldepflichten gegenüber der Aufsichtsbehörde, Bußgelder und Haftungsfragen, gerade bei Online-Shops mit Kundendaten.
Der richtige Partner an Ihrer Seite: So unterstützt Sie elio
Wenn Lücken schneller gefunden und schneller ausgenutzt werden, entscheidet die Reaktionszeit. Viele Unternehmen haben dafür kein eigenes Team, das Sicherheitsmeldungen rund um die Uhr verfolgt. Genau hier setzen wir an:
- Patch-Check: Wir prüfen Ihre Server und Shop-Systeme auf aktuelle Kernel- und Software-Stände und zeigen Ihnen, wo Handlungsbedarf besteht.
- Managed Hosting und Betrieb: Gemeinsam mit unserem Hosting-Partner main cloud übernehmen wir auf Wunsch Updates, Neustarts in abgestimmten Wartungsfenstern und Monitoring.
- Web Application Firewall: Eine WAF vor Ihrer Anwendung ergänzt den Schutz auf Anwendungsebene. Sie ersetzt keine Kernel-Updates, verringert aber die Angriffsfläche insgesamt.
- Modernisierung gewachsener Systeme: Alte Server und Shop-Versionen, die keine Updates mehr bekommen, migrieren wir geordnet auf aktuelle Plattformen.
Fazit: KI verändert das Tempo, nicht die Grundregeln
Die neue Linux-Lücke ist kein Einzelfall, sondern ein Vorgeschmack. KI macht Software langfristig sicherer, weil mehr Fehler gefunden werden. Kurzfristig steigt aber der Druck auf jeden Betreiber, schnell zu reagieren. Wer seine Systeme kennt, Updates zügig einspielt und einen verlässlichen Partner an seiner Seite hat, profitiert vom Segen und hält den Fluch in Grenzen.
Sie möchten Ihre Linux-Server absichern?
Ob Patch-Check, Managed Hosting, Web Application Firewall oder Migration veralteter Systeme: Wir prüfen Ihre Server und zeigen Ihnen, welcher Weg zu Ihren Anforderungen und Ihrem Budget passt.
Quellen
- heise online: Erneut kritischer Bug in Linux TCP/IP aufgedeckt – Updates in Arbeit
- Anthropic: Discovering and exploiting vulnerabilities in critical, real-world software with Claude
- Red Hat: RHSB-2026-016, CVE-2026-98432 (30.10.2026)
- The Hacker News: Linux Kernel TCP Flaw With 9.8 CVSS Score (29.10.2026)
- Borns IT-Blog: Securepoint zur Linux-IPv4-TCP-Schwachstelle (31.10.2026)
