Eine Schwachstelle im Linux-Kernel betrifft die IPv4-TCP-Verarbeitung. Sie wird unter CVE-2026-98432 geführt. Ich fasse zusammen, was bisher technisch bestätigt ist und warum beim Update der Paketstand der eigenen Linux-Distribution entscheidend ist.
Was CVE-2026-98432 beschreibt
Die Ubuntu-Sicherheitsmeldung beschreibt einen Use-after-free-Fehler in der Verarbeitung von IPv4-TCP-Verbindungen. Dabei kann ein Kernelbereich noch auf Speicher zugreifen, dessen Freigabe bereits begonnen hat. CERT.at ordnete den Fehler Ende Oktober als potenziell für entfernte Codeausführung relevant ein. Das konkrete Risiko hängt jedoch vom eingesetzten Kernel, der Distribution und deren Paketstand ab.
Ubuntu bewertete die Priorität als „High“ und führte einen CVSS-Wert von 9,8 („Critical“). CERT.at schrieb am 30. Oktober, der bekannte Exploit sei zu diesem Zeitpunkt nicht öffentlich verfügbar gewesen.
Warum Kernelnummern allein nicht reichen
Ein Upstream-Fix und ein fertiges Update für eine Distribution sind zwei verschiedene Schritte. CERT.at nannte am 30. Oktober behobene Upstream-Zweige ab 6.12.113, 6.18.56, 7.2.10 und 7.3-rc7. Ubuntu meldete am selben Tag für Ubuntu 26.04 LTS noch „Vulnerable work in progress“ beim Paketstand 7.0.0-43.43.
Eine Versionsnummer aus einem anderen Kernelzweig lässt sich deshalb nicht direkt auf ein Ubuntu- oder anderes Distributionspaket übertragen. Maßgeblich ist die Sicherheitsmeldung des jeweiligen Distributors. Dieser kann Korrekturen auch in Pakete zurückportieren, deren Versionsnummer nicht dem neuesten Upstream-Zweig entspricht.
Was ich bei einem Linux-Server prüfen würde
Ich kontrolliere zuerst die eigene Distribution und den installierten Kernel, danach den Update-Kandidaten aus den offiziellen Paketquellen und die CVE-Seite des Distributors. Sobald ein passendes Sicherheitsupdate bereitsteht, sollte es regulär eingespielt werden. Einen selbst kompilierten Mainline-Kernel würde ich nicht allein wegen einer abweichenden Versionsnummer installieren.
Der Status auf Distributionsseiten kann sich ändern. Die Ubuntu-Angabe in diesem Beitrag ist deshalb ausdrücklich der Stand der Meldung vom 30. Oktober 2026; vor einer Entscheidung zählt der aktuelle Paket- und CVE-Status des eigenen Systems.
