Peringatan Keamanan: CVE-2026-98432, Celah Kritis TCP IPv4 pada Kernel Linux yang Dapat Dipicu dari Jarak Jauh

KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengelola server berbasis Linux untuk segera memeriksa kernel server dan menerapkan langkah pengamanan. Kerentanan CVE-2026-98432 berada pada bagian kernel yang menerima koneksi TCP lewat IPv4. Penyerang tidak perlu login dan cukup mengirim paket jaringan ke port TCP yang terbuka. Akibatnya bisa berupa server mati mendadak (kernel crash), kerusakan memori kernel, hingga eksekusi perintah dari jarak jauh.

Perbaikan resmi baru tersedia di sebagian distribusi. Debian sudah merilis kernel perbaikan, sedangkan Ubuntu dan Red Hat Enterprise Linux (beserta turunannya seperti AlmaLinux dan Rocky Linux) masih menyiapkannya. Selama menunggu, terapkan langkah sementara pada bagian Rekomendasi.

Ikhtisar

Dampak

• Dapat dipicu dari jarak jauh tanpa autentikasi. Penyerang cukup menjangkau satu port TCP yang terbuka melalui IPv4, misalnya port web, SSH, atau database. Celah berada di kernel, sebelum aplikasi menerima koneksi, sehingga jenis aplikasinya tidak berpengaruh.
• Server berhenti mendadak. Percobaan serangan dapat membuat kernel crash sehingga semua layanan di server tersebut ikut mati.
• Pengambilalihan server. Menurut Red Hat, kerentanan ini dapat berujung pada eksekusi kode jarak jauh. Anthropic melaporkan sebuah eksploit yang menjalankan perintah sebagai root pada server dengan listener Multipath TCP (MPTCP), tanpa kredensial dan tanpa interaksi pengguna (lihat Catatan Status Eksploitasi).
• Cakupan luas. Kode yang rentan ada sejak kernel Linux 4.4 (2016), sehingga hampir semua server Linux yang masih berjalan saat ini terdampak, termasuk perangkat berbasis Linux seperti appliance jaringan dan NAS.

Sistem yang Terdampak

Kernel Linux versi 4.4 dan sesudahnya, sebelum perbaikan upstream. Yang menentukan adalah kernel yang sedang berjalan: kernel baru yang sudah terpasang belum melindungi server sebelum server di-reboot. RHEL 7 dan CentOS 7 tidak terdampak.

Untuk Ubuntu, nomor versi di atas adalah paket yang sedang dikerjakan dan belum dirilis. Server baru aman setelah Ubuntu menerbitkan paket tersebut, kernel diperbarui, dan server di-reboot.

Detail Teknis

Saat sebuah server menerima permintaan koneksi TCP (paket SYN) yang membawa IP options, kernel menyimpan opsi tersebut. Ketika koneksi terbentuk, fungsi tcp_v4_syn_recv_sock() menyerahkan opsi itu ke socket anak tanpa menyalinnya. Pada saat yang sama, paket SYN ulangan (retransmission) yang diproses CPU lain dapat membangun balasan SYN-ACK melalui ip_options_build() dengan membaca opsi yang sama. Bila socket anak keburu ditutup, inet_sock_destruct() membebaskan memori opsi tersebut secara langsung, sehingga jalur SYN-ACK membaca memori yang sudah dibebaskan (use-after-free).

Jalur kedua ada pada fitur migrasi permintaan koneksi (net.ipv4.tcp_migrate_req=1 atau program BPF BPF_SK_REUSEPORT_SELECT_OR_MIGRATE). Fitur ini tidak aktif secara bawaan. Koneksi lewat IPv6 tidak terdampak oleh masalah utama karena kernel menyalin opsinya.

Celah ini mulai ada sejak commit 079096f103fa ("tcp/dccp: install syn_recv requests into ehash table") pada Linux 4.4. Perbaikan upstream ada pada commit e3f33b0a1d89 ("ipv4: free inet_opt and ireq_opt after an RCU grace period"), yang menunda pembebasan memori dengan kfree_rcu() sampai tidak ada lagi proses yang membacanya.

Rekomendasi

1. Inventarisasi server Linux, terutama yang menerima koneksi dari internet. Periksa kernel yang berjalan: uname -r, lalu bandingkan dengan tabel di atas. Jangan lupakan perangkat berbasis Linux (firewall, NAS, appliance) dan periksa pengumuman vendornya.
2. Perbarui kernel begitu perbaikan tersedia, lalu reboot:
   • Debian/Ubuntu: sudo apt update && sudo apt full-upgrade
   • RHEL/AlmaLinux/Rocky/Oracle Linux: sudo dnf upgrade 'kernel*' (UEK: sudo dnf upgrade 'kernel-uek*')
   Sesudah reboot, pastikan uname -r menunjukkan versi baru dan perbaikan tercantum di changelog: apt changelog linux-image-$(uname -r) | grep CVE-2026-98432 (Debian/Ubuntu) atau rpm -q --changelog kernel-$(uname -r) | grep CVE-2026-98432 (RHEL dan turunannya).
3. Batasi port TCP yang terbuka ke internet. Port yang tidak terjangkau penyerang tidak dapat dipakai untuk memicu celah ini. Tutup port pengelolaan (SSH, panel admin, database) dari akses publik dan arahkan lewat VPN.

Langkah sementara untuk server yang belum mendapat perbaikan. Red Hat menganjurkan aturan nftables yang membuang paket TCP IPv4 yang membawa IP options, yaitu jalur pemicu celah ini. Simpan sebagai berkas cve-2026-98432.nft:

table inet cve_2026_98432 {
    chain input {
        type filter hook input priority -310; policy accept;
        ip protocol tcp ip hdrlength > 5 counter drop
    }
}

Periksa lalu terapkan:

sudo nft --check --file cve-2026-98432.nft
sudo nft --file cve-2026-98432.nft
sudo nft list table inet cve_2026_98432

• Lalu lintas web dan aplikasi biasa tidak memakai IP options, tetapi uji dulu pada satu server dan pantau layanannya. Red Hat mengingatkan aturan ini dapat mengganggu beban kerja tertentu.
• Menurut Red Hat, aturan ini mengurangi paparan tetapi tidak dapat mencegah celah sepenuhnya. Aturan ini bukan pengganti pembaruan kernel.
• Aturan yang dipasang dengan cara ini hilang saat reboot. Pasang ulang bila server di-reboot sebelum kernel perbaikan tersedia.
• Hapus aturan setelah kernel perbaikan berjalan: sudo nft delete table inet cve_2026_98432

Matikan MPTCP bila tidak dipakai. Eksploit yang dilaporkan menyasar server dengan listener MPTCP. Periksa dengan ss -Mlnp; setiap baris yang muncul adalah listener MPTCP. Bila tidak diperlukan:

echo 'net.mptcp.enabled=0' | sudo tee /etc/sysctl.d/90-cve-2026-98432-mptcp.conf
sudo sysctl -p /etc/sysctl.d/90-cve-2026-98432-mptcp.conf

• Koneksi TCP biasa tetap berjalan. Mulai ulang layanan yang sebelumnya membuka listener MPTCP.
• Aplikasi yang dibangun dengan Go 1.24 atau lebih baru membuka listener MPTCP secara bawaan di Linux. Tim keamanan Go menyarankan GODEBUG=multipathtcp=0 sebagai langkah sementara, tetapi menyebutnya rapuh.
• Langkah ini hanya menutup jalur eksploit yang sudah diperagakan. Celah dasarnya tetap ada pada TCP IPv4 biasa, jadi pembaruan kernel tetap wajib.

Pastikan fitur migrasi tidak aktif: sysctl net.ipv4.tcp_migrate_req harus bernilai 0.

Pantau tanda percobaan serangan. Percobaan yang gagal dapat meninggalkan jejak crash di log kernel: journalctl -k | grep -E 'ip_options_build|ip_build_and_send_pkt|skb_under_panic'. Server yang tiba-tiba reboot sendiri tanpa sebab jelas juga perlu diperiksa. Bila menemukan indikasi, laporkan melalui formulir laporan insiden.

Catatan Status Eksploitasi

Hingga artikel ini diterbitkan, CVE-2026-98432 tidak tercantum dalam katalog Known Exploited Vulnerabilities (KEV) CISA, dan kami belum menemukan laporan eksploitasi dalam serangan nyata.

Pada 27 Oktober 2026, tim Frontier Red Team Anthropic menerbitkan tulisan riset yang menyebut bahwa sebuah model riset internal yang belum dirilis menulis eksploit untuk celah ini setelah diberi arahan awal. Eksploit tersebut memungkinkan penyerang jarak jauh menjalankan perintah sebagai root pada server Linux yang memiliki listener MPTCP, tanpa kredensial dan tanpa interaksi pengguna. Dalam uji coba mereka, tahap membocorkan alamat memori kernel memakan waktu sekitar 48 menit, ditambah lima menit untuk menjalankan perintah. Kode eksploit, versi kernel, dan konfigurasi yang diuji tidak dipublikasikan.

Pada 29 Oktober 2026, tim keamanan Go menegaskan bahwa eksploit yang diperagakan membutuhkan listener MPTCP, tetapi celah dasarnya tidak khusus MPTCP. Sistem tanpa listener MPTCP mungkin rentan terhadap serangan serupa. Karena itu KUTIM-CSIRT memperlakukan semua server Linux yang menerima koneksi TCP IPv4 sebagai terdampak. Artikel ini akan diperbarui bila Ubuntu dan Red Hat merilis perbaikan atau bila ada laporan eksploitasi.

Referensi

• Red Hat – RHSB-2026-016 Use-after-free kernel IPv4 dan Red Hat – CVE-2026-98432
• Ubuntu – CVE-2026-98432
• Debian Security Tracker – CVE-2026-98432
• Kernel.org – commit perbaikan
• oss-security – Go Security Team: Protecting against CVE-2026-98432
• Anthropic – tulisan riset Frontier Red Team (27 Oktober 2026)
• NVD – CVE-2026-98432
• CISA – Known Exploited Vulnerabilities Catalog
• Katalog CVE KUTIM-CSIRT: CVE-2026-98432