Alerta de Vulnerabilidade - Linux Kernel

Vulnerabilidade de use-after-free (CWE-825) no subsistema de rede IPv4 do kernel Linux, com o identificador CVE-2026-98432/EUVD-2026-102025, divulgada pela equipa de CVE do kernel a 15 de outubro de 2026 [1][2].

A vulnerabilidade resulta de uma race condition no processamento de pedidos de ligação TCP retransmitidos: as opções IPv4 associadas à ligação podem ser libertadas enquanto outro processador ainda as está a utilizar. O código vulnerável é executado dentro do kernel durante o estabelecimento da ligação, antes de qualquer aplicação ter acesso a ela, e é alcançado por um pacote SYN com opções IPv4 dirigido a um porto TCP à escuta [2][3].

A vulnerabilidade existe desde o kernel 4.4 e afeta a generalidade das distribuições Linux, bem como produtos que integram o kernel, nomeadamente o Sophos Firewall e as appliances da Veeam. As ligações sobre IPv6 não são afetadas [1][4][5].


A exploração é remota e não requer autenticação, privilégios nem interação do utilizador. O resultado varia entre a falha imediata do sistema, com a consequente negação de serviço, e a corrupção de memória do kernel, que pode conduzir à execução de código com privilégios de kernel [2][3].

Foi demonstrada em laboratório a execução remota de código como root contra servidores com um listener de Multipath TCP (MPTCP) ativo, sem que o exploit tenha sido divulgado publicamente. O MPTCP é uma extensão do TCP que permite a uma ligação utilizar vários caminhos de rede em simultâneo. As versões 1.24 e posteriores da linguagem Go ativam-no por predefinição nos sockets à escuta em Linux, o que alarga o conjunto de sistemas em que essa via é aplicável, por vezes sem conhecimento do administrador [6].

Recomenda-se a aplicação da atualização de kernel disponibilizada pelo fornecedor da distribuição, seguida do reinício do sistema. As principais distribuições disponibilizaram kernels corrigidos entre 30 de outubro e 4 de novembro de 2026 [1][7].

Medidas adicionais recomendadas:

• Confirmar a versão de kernel em execução após o reinício, dado que a atualização do pacote não produz efeito enquanto o sistema não arrancar com o novo kernel [1];
• Verificar junto dos fornecedores de equipamentos e appliances que integrem Linux a disponibilização de correções próprias, uma vez que não são abrangidos pelas atualizações das distribuições [4][5];
• Dar prioridade à análise/proteção dos sistemas com portos TCP sobre IPv4 acessíveis a partir de redes não confiáveis, e em particular às aplicações que ativam MPTCP [1][6];
• Monitorizar os sistemas para identificar falhas de kernel inesperadas, que podem corresponder a tentativas de exploração não concluídas [3].

[1] - https://almalinux.org/blog/2026-10-30-cve-2026-98432/
[2] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-98432
[3] - https://access.redhat.com/security/cve/cve-2026-98432
[4] - https://www.sophos.com/en-us/security-advisories/sophos-sa-20261102-linux-kernel-tcp
[5] - https://www.veeam.com/kb4966
[6] - https://www.akamai.com/blog/security-research/cve-2026-98432-remote-uaf-linux-kernels-tcp-stack
[7] - https://ma.ttias.be/linux-cve-2026-98432-vulnerable-kernels/