Ubuntu задерживает исправление критической уязвимости TCP в Linux: пользователи недовольны Canonical

Ubuntu оказалась в центре серьёзной дискуссии о безопасности Linux после обнаружения критической уязвимости в сетевом стеке ядра. Проблема CVE-2026-98432 затрагивает обработку входящих IPv4 TCP-соединений и при определённых условиях может позволить удалённому злоумышленнику вызвать сбой системы, повредить память ядра или даже выполнить код с привилегиями root.

Особое недовольство пользователей вызвало не только само существование уязвимости, но и скорость реакции Canonical. Пока Debian и ряд других дистрибутивов уже выпустили исправления, пользователям нескольких поддерживаемых версий Ubuntu пришлось ждать, когда обновлённые ядра пройдут тестирование. По состоянию на 3 ноября 2026 года исправления для Ubuntu 22.04 LTS, 24.04 LTS и 26.04 LTS находились в тестовом репозитории -proposed, но ещё не были доступны в стандартном канале обновлений.

Как сообщает OMG! Ubuntu, задержка вызвала волну критики со стороны системных администраторов и разработчиков. Некоторые пользователи начали сомневаться в надёжности Ubuntu как серверной платформы, а один из разработчиков публично заявил о намерении перевести свои серверы на другой дистрибутив.

Ситуация особенно чувствительна для Canonical, поскольку компания предлагает корпоративную поддержку Ubuntu, включая своевременные обновления безопасности через Ubuntu Pro и Expanded Security Maintenance. В результате инцидент превратился не просто в обсуждение одной ошибки ядра, а в проверку доверия к модели сопровождения дистрибутива.

Что представляет собой уязвимость CVE-2026-98432

CVE-2026-98432 — это ошибка класса use-after-free, то есть использование уже освобождённой области памяти. Она обнаружена в сетевой подсистеме Linux, которая отвечает за обработку IPv4 TCP-соединений. Проблема связана с тем, как ядро управляет памятью при установлении соединения и обработке повторно передаваемых запросов.

TCP — один из основных сетевых протоколов интернета. Именно он обеспечивает надёжную передачу данных между клиентами и серверами. Когда браузер подключается к веб-сайту, почтовый клиент обращается к серверу или приложение устанавливает сетевое соединение с удалённой системой, в большинстве случаев используется TCP.

Установление TCP-соединения обычно происходит посредством трёхэтапного рукопожатия:

• SYN. Клиент отправляет серверу запрос на установление соединения.
• SYN-ACK. Сервер подтверждает получение запроса и сообщает о готовности принять соединение.
• ACK. Клиент подтверждает ответ сервера, после чего соединение считается установленным.

Уязвимость возникает при определённой последовательности операций с памятью, когда несколько потоков обработки сетевых запросов могут одновременно обращаться к одним и тем же данным. В частности, проблема затрагивает IPv4-опции, которые могут передаваться в заголовке IP-пакета.

При обработке соединения ядро сохраняет эти данные и использует их при формировании ответа. Однако в определённой ситуации память может быть освобождена одним участком кода, пока другой участок продолжает её читать. В результате возникает обращение к уже освобождённому объекту.

Подобные ошибки особенно опасны в ядре операционной системы. В отличие от обычного приложения, ядро обладает высокими привилегиями и управляет памятью, процессами и аппаратными ресурсами. Поэтому повреждение его памяти может привести не только к аварийному завершению отдельной программы, но и к нарушению работы всей системы.

Подробное техническое описание проблемы опубликовано в бюллетене безопасности Red Hat, а сведения о затронутых пакетах и исправлениях доступны в официальном трекере уязвимостей Ubuntu.

Почему уязвимость получила оценку 9,8 из 10

Linux Kernel CVE Team оценила CVE-2026-98432 в 9,8 балла по шкале CVSS 3.1. Это практически максимальный уровень критичности. Такая оценка объясняется тем, что потенциальная атака может выполняться через сеть, не требует предварительной аутентификации и не предполагает участия пользователя.

Согласно оценке CVSS 3.1, учитываются следующие характеристики:

• Вектор атаки — Network. Для воздействия достаточно сетевого доступа к уязвимой системе.
• Сложность атаки — Low. В базовой оценке не требуется выполнение сложных предварительных условий.
• Привилегии — None. Злоумышленнику не нужно предварительно получать учётную запись на сервере.
• Взаимодействие пользователя — None. Не требуется, чтобы администратор или обычный пользователь запускал вредоносный файл.
• Последствия — высокие. Потенциально затрагиваются конфиденциальность, целостность и доступность системы.

При этом оценки разных организаций могут отличаться. Например, Oracle и SUSE использовали более низкую оценку — 8,1 балла, учитывая практическую сложность эксплуатации ошибки. Важно понимать, что базовая оценка CVSS описывает потенциальную серьёзность уязвимости, а не вероятность успешной атаки на каждый конкретный сервер.

В официальных материалах Canonical также встречается классификация High. Это не означает, что разработчики считают проблему незначительной: в CVSS 3.1 значение 9,8 соответствует уровню Critical, тогда как Canonical использует собственную классификацию при оценке и сопровождении уязвимостей. На странице Ubuntu дополнительно приводится оценка CVSS 4.0 — 8,3, также с уровнем High. Разные версии методики не следует смешивать.

Ошибка присутствует в Linux уже около десяти лет

Одна из наиболее неприятных особенностей CVE-2026-98432 заключается в возрасте проблемы. По данным исследователей, уязвимый код присутствует в ядре Linux начиная с версии 4.4, выпущенной в 2016 году.

Это означает, что проблема могла затронуть значительное количество серверов, облачных платформ и других систем, работающих на Linux. При этом наличие уязвимого участка кода ещё не означает, что каждый такой сервер можно успешно атаковать: для эксплуатации необходимы определённые условия, связанные с обработкой сетевых соединений.

Исправление было внесено в основную ветку разработки ядра Linux 5 октября 2026 года. Оно связано с изменением механизма освобождения памяти: вместо немедленного освобождения используются вызовы kfree_rcu(), которые позволяют дождаться завершения операций чтения общего объекта другими потоками.

В результате исправление предотвращает ситуацию, при которой один участок ядра освобождает память, пока другой продолжает обращаться к ней. Технические подробности можно изучить в коммите Linux kernel.

По сообщениям разработчиков, само изменение оказалось небольшим — оно затрагивает всего несколько строк кода. Но простота патча не означает, что его можно без проверки немедленно распространять на все поддерживаемые конфигурации. Ядро Linux используется на огромном количестве устройств, серверов и специализированных систем, поэтому обновления требуют проверки совместимости.

Искусственный интеллект Claude помог создать эксплойт

Дополнительное внимание к уязвимости привлекло заявление исследователя Anthropic. По информации компании, её внутренняя, ещё не выпущенная модель Claude смогла создать работающий эксплойт для CVE-2026-98432. В демонстрации речь шла о возможности удалённого выполнения команд с правами root на сервере с включённым Multipath TCP.

Multipath TCP (MPTCP) — расширение стандартного TCP, позволяющее использовать несколько сетевых путей для одного логического соединения. Например, устройство может задействовать несколько сетевых интерфейсов, повышая устойчивость передачи данных или используя доступную пропускную способность разных каналов.

По описанию Anthropic, созданный моделью эксплойт использовал MPTCP как часть условий атаки. Исследователи сообщили, что модель смогла добиться утечки данных из памяти ядра, обойти механизм рандомизации адресного пространства KASLR и получить возможность выполнения команд с привилегиями root.

Это важный пример того, как современные ИИ-модели могут помогать исследователям находить сложные ошибки в программном обеспечении и автоматизировать разработку эксплойтов. Однако здесь необходимо различать несколько вещей:

• Anthropic сообщила о создании рабочего эксплойта внутренней моделью, но не опубликовала его код.
• Демонстрация относится к определённым условиям эксплуатации, в частности к наличию MPTCP-слушателя.
• Публично доступный код, подтверждающий наличие ошибки, не обязательно позволяет получить удалённый доступ к системе.
• Сам факт создания эксплойта не доказывает, что уязвимость уже массово используется злоумышленниками.

Оригинальное описание исследования опубликовано на сайте Anthropic. Эта история показывает двойственную роль искусственного интеллекта в кибербезопасности: те же инструменты могут ускорять поиск и исправление ошибок, но одновременно снижать порог входа для разработки атакующих средств.

Почему пользователи Ubuntu недовольны Canonical

Главная причина недовольства заключается в разнице между сроками исправления уязвимости в разных дистрибутивах. Debian и некоторые другие проекты выпустили обновлённые ядра раньше, тогда как Canonical продолжала проверять исправления для ряда поддерживаемых версий Ubuntu.

Для пользователей серверных систем время реакции на критические уязвимости имеет особое значение. Веб-серверы, почтовые платформы, базы данных и облачные виртуальные машины часто доступны из интернета круглосуточно. Если проблема затрагивает сетевой стек ядра, её нельзя считать исключительно теоретической неприятностью.

Критика особенно усилилась после публикации информации о том, что исправление уже доступно в других дистрибутивах и, по сообщениям разработчиков, требует сравнительно небольших изменений кода.

В социальных сетях пользователи обвиняли Canonical в недостаточно быстрой реакции и отсутствии ясных сроков выхода стабильного обновления. Один из разработчиков опубликовал критическую заметку под названием «WTF Ubuntu», заявив, что больше не доверяет дистрибутиву в качестве надёжной серверной платформы и намерен перенести свои серверы на другие системы.

Разумеется, подобные заявления отражают мнение отдельных администраторов, а не обязательно позицию всего сообщества Ubuntu. Тем не менее публичная реакция показывает, насколько чувствительной стала тема безопасности для компаний, использующих Linux в производственной инфраструктуре.

Почему Canonical не выпустила исправление сразу

Canonical объясняет задержку необходимостью масштабного тестирования обновлённых ядер. Компания проверяет изменения на тысячах сертифицированных серверов и устройств, чтобы избежать проблем с совместимостью, производительностью и стабильностью.

Это особенно важно для корпоративных пользователей. Обновление ядра может повлиять на драйверы, сетевые интерфейсы, системы хранения, виртуализацию и специализированное оборудование. Неудачный выпуск исправления способен привести к сбоям не менее серьёзным, чем сама уязвимость.

Canonical также сослалась на новую схему выпуска исправлений безопасности для ядра. Она предусматривает определённый цикл проверки перед публикацией обновлений в стандартном репозитории. Цель такого подхода — ускорить распространение исправлений, сохранив совместимость с большим количеством аппаратных платформ.

Однако именно эта схема в рассматриваемом случае вызвала вопросы. Пользователи ожидали, что новая система позволит быстрее получать критические исправления, но на практике тестирование затянулось, а точная дата выхода обновлений для стабильных веток не была объявлена.

Позиция Canonical заключается в том, что выпускать неподтверждённое обновление ядра только ради скорости было бы неправильно. Для серверных систем, от которых зависит работа бизнеса, стабильность также имеет большое значение. Проблема в том, что при уязвимости с оценкой 9,8 длительное ожидание само по себе создаёт дополнительные риски.

Официальное объяснение компании опубликовано в материале Fixes available in -proposed pocket for CVE-2026-98432.

Какие версии Ubuntu затронуты и где находится исправление

По состоянию на 5 ноября 2026 года Canonical опубликовала информацию о статусе исправлений для поддерживаемых выпусков Ubuntu. Здесь важно учитывать, что наличие пакета в тестовом репозитории -proposed не означает, что он уже установлен у обычных пользователей.

Статус исправлений выглядит следующим образом:

• Ubuntu 14.04 LTS (Trusty). По данным Canonical, эта версия не затронута.
• Ubuntu 16.04 LTS (Xenial). Исправление ожидается.
• Ubuntu 18.04 LTS (Bionic). Исправление ожидается.
• Ubuntu 20.04 LTS (Focal). Исправление ожидается.
• Ubuntu 22.04 LTS (Jammy). Исправление доступно в -proposed, целевая версия ядра 5.15.0-203.213.
• Ubuntu 24.04 LTS (Noble). Исправление доступно в -proposed, целевая версия ядра 6.8.0-149.149.
• Ubuntu 26.04 LTS (Resolute). Исправление доступно в -proposed, целевая версия ядра 7.0.0-43.43.
• Ubuntu 26.10 (Stonking). Исправление уже включено в ядро 7.3.0-10.10.

Таким образом, к 5 ноября ситуация уже отличается от первоначального описания OMG! Ubuntu: для Ubuntu 26.10 Canonical указывает исправление как выпущенное. Однако пользователям трёх перечисленных LTS-версий всё ещё необходимо учитывать статус тестового канала. Для более старых выпусков компания указывает, что работа над исправлениями продолжается.

Актуальную информацию следует проверять непосредственно в официальной карточке CVE-2026-98432 на сайте Ubuntu, поскольку статус пакетов может измениться после публикации этой статьи.

Как проверить ядро Ubuntu и что делать администраторам

Администраторам серверов, использующих Ubuntu, следует в первую очередь выяснить, какая версия ядра работает на системе. Для этого достаточно выполнить команду:

uname -r

Она покажет версию текущего запущенного ядра. Однако одного номера версии недостаточно для универсального вывода о наличии уязвимости: дистрибутивы могут переносить исправления в собственные пакеты, сохраняя привычную нумерацию. Поэтому результат необходимо сопоставлять с информацией Canonical для конкретного выпуска Ubuntu.

Список установленных пакетов ядра можно получить командой:

dpkg -l 'linux-image*' | grep ^ii

Если исправление уже доступно в стандартном репозитории, администратору следует установить обновления обычным способом, а затем перезагрузить сервер. Для ядра это принципиальный момент: установка нового пакета сама по себе не означает, что система уже использует исправленную версию. Изменения вступят в силу после загрузки с обновлённым ядром.

Для Ubuntu 22.04, 24.04 и 26.04 Canonical предусмотрела возможность получить тестовые пакеты через -proposed. Этот канал предназначен прежде всего для проверки обновлений и не должен бездумно подключаться на производственных серверах. Установка пакетов из него требует понимания процесса тестирования и возможности восстановить систему в случае проблем.

Если сервер обслуживает важные сервисы, разумно сначала проверить обновление на тестовой машине или резервном узле. Также следует убедиться, что доступны резервные копии и предусмотрена возможность загрузиться с предыдущего ядра.

Почему отключение Multipath TCP не решает проблему полностью

После появления информации об эксплойте некоторые администраторы начали рекомендовать отключать Multipath TCP как временную меру защиты. Логика понятна: демонстрация Anthropic использовала MPTCP, поэтому отказ от этой функции может затруднить применение именно описанного варианта атаки.

Однако Canonical выступила против такого подхода в качестве полноценного решения. Уязвимость находится в обработке IPv4 TCP-соединений и не ограничивается исключительно Multipath TCP. Следовательно, отключение MPTCP не устраняет первопричину ошибки и не гарантирует защиту от других способов её эксплуатации.

Кроме того, MPTCP может использоваться приложениями и сетевыми службами, которым необходима работа с несколькими сетевыми путями. Отключение функции способно повлиять на совместимость или производительность таких систем.

Позиция команды безопасности Ubuntu однозначна: надлежащим способом устранения проблемы является установка исправленного ядра. Дополнительные сетевые ограничения могут рассматриваться только как временная мера в рамках конкретной инфраструктуры, но не как замена обновлению.

Что этот инцидент означает для серверного рынка Linux

Ситуация вокруг CVE-2026-98432 затрагивает не только Ubuntu. Она показывает, насколько сложной стала задача сопровождения современных дистрибутивов Linux. Одно и то же ядро используется на серверах разных поколений, в облачных платформах, контейнерных средах и специализированных устройствах. Производители дистрибутивов должны одновременно обеспечивать безопасность и не нарушать работу существующей инфраструктуры.

Для корпоративных клиентов скорость выпуска исправлений — один из важнейших критериев выбора операционной системы. Ubuntu конкурирует с Debian, Red Hat Enterprise Linux, SUSE Linux Enterprise, AlmaLinux и Rocky Linux. Если администраторы считают, что один дистрибутив реагирует на критические уязвимости заметно медленнее других, это может повлиять на решения о миграции.

При этом сравнивать дистрибутивы только по одному инциденту было бы неправильно. Важны качество тестирования, прозрачность коммуникации, продолжительность поддержки, доступность исправлений для разных вариантов ядра и возможность оперативно внедрять обновления.

Для Canonical главный урок заключается в необходимости более чётко объяснять сроки выпуска критических исправлений. Если тестирование занимает дополнительное время, администраторам важно понимать, почему это происходит, какие версии уже проверены и какие временные меры действительно имеют смысл.

Для пользователей вывод не менее очевиден: автоматическое обновление не отменяет необходимости следить за бюллетенями безопасности, контролировать версии ядра и планировать перезагрузки серверов. Даже хорошо поддерживаемая система требует внимания со стороны администратора.

Выводы

Критика Canonical связана с задержкой исправления CVE-2026-98432 — серьёзной уязвимости в обработке IPv4 TCP-соединений ядром Linux. Ошибка класса use-after-free может привести к аварийному завершению системы, повреждению памяти и потенциальному удалённому выполнению кода с привилегиями root.

Особенно тревожным выглядит сочетание высокой оценки CVSS 3.1 — 9,8 балла, длительного существования ошибки в ядре и заявления Anthropic о создании работающего эксплойта с помощью внутренней модели Claude. При этом публичный код полноценного эксплойта не опубликован, а наличие успешных атак в реальной инфраструктуре не подтверждено приведёнными источниками.

Canonical объясняет задержку необходимостью тестирования обновлённых ядер на большом количестве сертифицированных устройств. Такая осторожность оправданна для корпоративной инфраструктуры, но в случае критических сетевых уязвимостей она должна сопровождаться прозрачной коммуникацией и понятными сроками.

По состоянию на 5 ноября 2026 года исправление уже включено в Ubuntu 26.10, а для Ubuntu 22.04, 24.04 и 26.04 LTS доступно в тестовом канале -proposed. Владельцам серверов необходимо следить за официальным статусом обновлений и установить исправленное ядро сразу после его появления в стабильном репозитории.

Этот инцидент стал напоминанием о том, что репутация Linux-дистрибутива определяется не только стабильностью и удобством, но и скоростью реакции на угрозы. Для серверных систем своевременное устранение уязвимостей — такая же важная характеристика, как производительность и совместимость оборудования.

Часто задаваемые вопросы