Linux-Lücke: Claude schreibt Root-Exploit, Ubuntu und Rhel ohne Patch

Was geschehen ist – die Kernmeldung ausführlich

Eine schwerwiegende Sicherheitslücke im Linux-Kernel, die unter der Kennung CVE-2026-98432 geführt wird, versetzt derzeit IT-Administratoren weltweit in Alarmbereitschaft. Die Schwachstelle betrifft den TCP-Stack des Kernels und ermöglicht es Angreifern unter spezifischen Voraussetzungen, aus der Ferne Befehle mit Root-Rechten auf betroffenen Systemen auszuführen. Die Entdeckung erlangte besondere Aufmerksamkeit, nachdem das KI-Unternehmen Anthropic am 27. Oktober öffentlich machte, dass ihr KI-Modell Claude in der Lage war, einen funktionsfähigen Exploit für diese Lücke zu schreiben. Die Schwachstelle, die als Use-after-free-Fehler klassifiziert ist, tritt bei der Verarbeitung neuer IPv4-TCP-Verbindungen auf. Durch ein präzise gesteuertes Timing bei der Ausführung kann ein Angreifer den Kernel dazu bringen, auf Speicherbereiche zuzugreifen, die bereits freigegeben wurden. Diese Sicherheitslücke ist besonders kritisch, da sie den Zugriff auf Kernel-Speicher, Datenmanipulationen und letztlich die vollständige Übernahme des Systems erlaubt. Während das offizielle Kernel-Team die Gefahr mit einem CVSS-Wert von 9,8 als extrem hoch einstuft, reagieren große Linux-Distributoren wie Ubuntu und Red Hat bisher eher zögerlich. Zum Stand des 29. Oktobers fehlten für viele ihrer Systeme noch die notwendigen Sicherheitsupdates, was Administratoren in eine schwierige Lage versetzt.

Die Einzelheiten – Zahlen, Namen und Abläufe

Die technische Analyse der Schwachstelle offenbart eine komplexe Race Condition innerhalb des Codes, der für den Aufbau von IPv4-TCP-Verbindungen zuständig ist. Laut den Berichten von Anthropic, deren Forscher Xinyang Ge als Entdecker der Lücke genannt wird, ist die Schwachstelle bereits seit der Linux-Kernel-Version 4.4 vorhanden. Der Fix für dieses Problem wurde von den Kernel-Entwicklern bereits am 5. Oktober implementiert, etwa zehn Tage vor der offiziellen Veröffentlichung der CVE-Kennung. Der Patch stellt sicher, dass der Kernel die Freigabe von Optionen so lange verzögert, bis alle beteiligten CPUs deren Verarbeitung abgeschlossen haben. Anthropic beschreibt den Exploit als zweistufigen Prozess: Zunächst wird über die Race Condition ein Kernel-Speicherbereich ausgelesen, um die KASLR-Schutzmechanismen zu umgehen und eine Kernel-Adresse zu ermitteln. Im zweiten Schritt führt ein Pufferüberlauf dazu, dass ein Callback-Zeiger auf Schadcode umgeleitet wird, was die Ausführung von Shell-Befehlen mit Root-Rechten ermöglicht. In den Tests von Anthropic dauerte das Auslesen einer Adresse etwa 48 Minuten, gefolgt von weiteren fünf Minuten für die Befehlsausführung. Der Exploit setzt voraus, dass ein Angreifer Verbindungsanfragen mit speziellen IPv4-Record-Route- oder Timestamp-Optionen sendet und diese wiederholt, um die Race Condition erfolgreich auszulösen.

Hintergrund – Vorgeschichte und bisheriger Verlauf

Die Entdeckung der Sicherheitslücke CVE-2026-98432 ist das Ergebnis einer intensiven Sicherheitsanalyse, an der auch KI-gestützte Systeme beteiligt waren. Die Schwachstelle betrifft den Multipath-TCP-Listener (MPTCP), eine Funktion, die unter Linux explizit beim Öffnen eines Sockets angefordert werden muss. Interessanterweise erwähnen weder der offizielle CVE-Eintrag noch der von den Kernel-Entwicklern bereitgestellte Patch MPTCP explizit. Diese Verbindung wurde erst durch die Veröffentlichung von Anthropic hergestellt. Die Fehlerklasse Use-after-free ist ein bekanntes Problem in der Speicherverwaltung, bei dem ein Programm weiterhin versucht, auf einen Speicherbereich zuzugreifen, nachdem dieser bereits freigegeben wurde. Dass dieser Fehler über so lange Zeit unbemerkt blieb, unterstreicht die Komplexität des Linux-Netzwerk-Stacks. Die Kernel-Entwickler ergänzten den kritischen CVSS-Wert von 9,8 erst am 24. Oktober, was die Dringlichkeit der Situation nochmals unterstrich. Die Tatsache, dass Anthropic den Exploit durch eine KI generieren ließ, markiert einen neuen Meilenstein in der Sicherheitsforschung, da es zeigt, wie schnell moderne Sprachmodelle komplexe Schwachstellen in bestehendem Quellcode identifizieren und für Angriffe nutzbar machen können.

Die Beteiligten – Personen und Institutionen

An der Identifizierung und Bewertung der Schwachstelle sind verschiedene Akteure beteiligt. Der Forscher Xinyang Ge, der bei Anthropic tätig ist, gilt als derjenige, der die Lücke gemeldet hat. Das Unternehmen Anthropic hat durch die Demonstration des KI-generierten Exploits für erhebliche Aufmerksamkeit gesorgt. Auf der Seite der Linux-Distributionen sind vor allem Ubuntu und Red Hat (RHEL) betroffen, deren Nutzer derzeit auf offizielle Patches warten. Andere Anbieter wie Oracle, SUSE und Amazon Linux haben bereits reagiert und teilweise korrigierte Pakete veröffentlicht. Das offizielle Kernel-Team ist für die Bereitstellung der Kern-Patches verantwortlich und hat bereits stabile Versionen veröffentlicht, die den Fehler beheben. Auf behördlicher Seite ist die US-Behörde CISA zu nennen, deren KEV-Katalog (Known Exploited Vulnerabilities) als Referenz für aktiv ausgenutzte Lücken dient, wobei die Schwachstelle dort zum 28. Oktober noch nicht gelistet war. Administratoren, die ihre Kernel selbst kompilieren, sind ebenfalls direkt betroffen und müssen entscheiden, ob sie auf die bereitgestellten stabilen Kernel-Versionen umsteigen oder auf die Pakete ihrer jeweiligen Distribution warten.

Einordnung – Die Bewertung der Bedrohungslage

Die Einordnung der Sicherheitslücke fällt je nach Institution sehr unterschiedlich aus. Während das Kernel-Team die Schwachstelle mit einem CVSS-Wert von 9,8 als nahezu maximal gefährlich einstuft, bewerten kommerzielle Distributoren das Risiko deutlich niedriger. Red Hat beispielsweise stufte die Lücke zunächst als „Moderate“ mit einem Wert von 5,9 ein, korrigierte dies jedoch später auf einen Wert von 8,1 („Important“). Den Berichten zufolge liegt der Hauptunterschied in der Einschätzung der Angriffskomplexität. Das Kernel-Team geht von einer niedrigen Komplexität aus, während Oracle und SUSE diese als hoch bewerten. Einzuordnen ist das so, dass die praktische Ausnutzung der Lücke ein präzises Timing erfordert, das unter realen Bedingungen auf einem Server nicht immer leicht zu erreichen ist. Ein fehlgeschlagener Versuch führt den Berichten zufolge meist lediglich zu einem Systemabsturz, was zwar die Verfügbarkeit beeinträchtigt, aber nicht zwangsläufig zur Kompromittierung führt. Dennoch bleibt die potenzielle Auswirkung – die vollständige Übernahme des Systems mit Root-Rechten – ein Szenario, das Administratoren nicht ignorieren können.

Offene Fragen – Was der Quelltext nicht beantwortet

Trotz der detaillierten Berichterstattung bleiben einige zentrale Fragen unbeantwortet. Es ist derzeit unklar, ob Server, die keinen MPTCP-Listener verwenden, ebenfalls auf diesem Weg angegriffen werden können. Die Verbindung zwischen der Lücke und MPTCP stammt ausschließlich aus den Veröffentlichungen von Anthropic, während offizielle Dokumentationen dazu schweigen. Des Weiteren bleibt unklar, warum Ubuntu und Red Hat bisher keine konkreten Zeitpläne für die Veröffentlichung der Patches genannt haben. Auch die Wirksamkeit von Abhilfemaßnahmen ist ungeklärt; Red Hat erklärte explizit, dass bisher keine bekannte Maßnahme ihre eigenen Sicherheitsanforderungen vollständig erfüllt. Es ist zudem nicht bekannt, ob das Filtern von IP-Optionen oder das einfache Deaktivieren von MPTCP das Risiko in der Praxis tatsächlich signifikant reduziert. Da der Exploit-Code selbst nicht veröffentlicht wurde, können Sicherheitsforscher außerhalb von Anthropic die tatsächliche Durchführbarkeit des Angriffs unter unterschiedlichen Systemkonfigurationen nur schwer verifizieren. Die Lücke bleibt somit ein potenzielles Risiko, dessen volle Tragweite erst mit der Zeit und weiteren Analysen klarer werden dürfte.

Wie es weitergeht – Angekündigte Schritte und Termine

Für Administratoren, die ihre Kernel selbst kompilieren, ist der Weg klar: Der Fix ist in den Kernel-Versionen 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 und 7.3 enthalten. Das Kernel-Team empfiehlt ausdrücklich den Umstieg auf die jeweils aktuelle stabile Version, anstatt nur einzelne Patches manuell einzuspielen. Nutzer von Ubuntu müssen sich noch gedulden, da die Distribution für Versionen von 16.04 bis 26.10 den Status „verwundbar“ oder „in Bearbeitung“ angibt, ohne einen konkreten Termin für die Bereitstellung zu nennen. Auch bei Red Hat für die RHEL-Versionen 8, 9 und 10 wurden die Korrekturen auf ein späteres Update verschoben. RHEL 7 ist nach aktuellen Informationen nicht betroffen. Da bisher keine Meldungen über tatsächliche Angriffe vorliegen, scheint der Zeitdruck für Administratoren zwar vorhanden, aber nicht unmittelbar eskaliert zu sein. Dennoch bleibt die Beobachtung der offiziellen Advisory-Datendateien der Distributoren für die kommenden Tage und Wochen essenziell, um die Sicherheitslücken in den eigenen Systemumgebungen zeitnah schließen zu können, sobald die entsprechenden Updates verfügbar sind.