Laut heise steckte ein Wettlauffehler elf Jahre im TCP-Code des Linux-Kerns, und laut Anthropic hat ihn ein KI-Modell gefunden.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Was die Kernel-Meldung beschreibt

Am Donnerstag, 15. Oktober 2026, hat das Linux-Kernel-CVE-Team die Lücke unter der Kennung CVE-2026-98432 veröffentlicht. Der Titel der Meldung lautet „ipv4: free inet_opt and ireq_opt after an RCU grace period“. Beschrieben ist ein Wettlauf zwischen mehreren Prozessorkernen beim Bearbeiten einer erneut gesendeten SYN-Anfrage, also einer Verbindungsanfrage, die ein zweites Mal eintrifft.

Eingeführt wurde der Fehler laut Meldung in Kernel-Version 4.4. Behoben ist er in 6.12.113, 6.18.56, 7.2.10 und 7.3-rc7. Von dem ersten beschriebenen Problem sei IPv6 nicht betroffen.

heise online datiert den fehlerhaften Code auf den 2. Oktober 2015 und schreibt, die Lücke habe „seit ziemlich genau elf Jahren“ im Code gesteckt. Die Einstufung als Remote Code Execution mit CVSS 9,8 stammt ebenfalls von heise; die Kernel-Meldung selbst enthält keine Bewertung. Betroffen seien laut heise nahezu alle Linux-Distributionen, darunter Debian, Red Hat, Suse und Ubuntu.

Wie Anthropic die Lücke gefunden haben will

Laut heise deckte Claude die Lücke bei systematischen Tests wichtiger Projekte auf. Anthropic schreibt in der Veröffentlichung „Discovering and exploiting vulnerabilities in critical, real-world software with Claude“, in den vergangenen Monaten habe das Unternehmen ein unveröffentlichtes, internes Forschungsmodell eingesetzt. Zu den Linux-Funden heißt es dort sinngemäß, sie seien mit Claude entdeckt worden. Wer sich für die allgemeine Einordnung solcher KI-Funde interessiert, findet sie im Artikel Project Glasswing: was die Schwachstellen-Funde für KMU heißen.

Im fünften Kapitel beschreibt Anthropic einen Exploit gegen Linux-Server mit Multipath-TCP-Listener. Ein Angreifer könne damit aus der Ferne Befehle als root ausführen, ohne Zugangsdaten und ohne Zutun eines Nutzers. Ursache sei ein Wettlauffehler mit Use-after-free im Netzwerkteil. In Anthropics Beweisaufbau dauerte es 48 Minuten, einen Kernel-Zeiger auszulesen, und weitere fünf Minuten bis zur Befehlsausführung. Ein verlorener Wettlauf lasse das System laut Anthropic nicht abstürzen, ein Angreifer könne es unbegrenzt wiederholen.

Diese Angaben stammen von Anthropic selbst und sind nicht unabhängig bestätigt. Die Veröffentlichung beschreibt mehrere Fälle, dieser ist einer davon. Nach Angaben von Anthropic ist die Lücke upstream behoben und auf alle gepflegten stabilen Kernel-Zweige übertragen.

Angriffslage und Updatestand am 31. Oktober 2026

Der einzige bekannte Exploit stammt laut heise von Anthropic und ist nicht öffentlich. Er bezieht sich auf Multipath-TCP (MPTCP), eine TCP-Option, die ein Server-Dienst ausdrücklich anfordern muss. Ob ein MPTCP-Dienst für einen Angriff zwingend nötig ist, sei unklar. Über konkrete Angriffe wisse heise bislang nichts.

Bei Debian führt der Security Tracker laut Abruf vom 31. Oktober 2026 zwei Sicherheitsfassungen als „fixed“: 6.1.190-1 für bookworm (security) und 6.12.113-1 für trixie (security). Die Standardfassung von bookworm, 6.1.176-1, steht dort als „vulnerable“.

Ubuntu veröffentlichte seine Seite am 15. Oktober 2026 und aktualisierte sie zuletzt am 30. Oktober 2026. Die Priorität lautet „High“. Ubuntu 26.04 LTS, 24.04 LTS und 22.04 LTS stehen am 31. Oktober 2026 als „Vulnerable“ mit dem Vermerk „work in progress“. Das ist ein Stand der Abfrage und kann sich ändern.

heise rät Administratoren, die fehlerbereinigten Kernel möglichst zügig einzuspielen, sobald sie verfügbar sind. Die Distributoren arbeiten laut heise daran, aktualisierte Kernel für die betroffenen und noch unterstützten Produkte bereitzustellen.

Unsere Einschätzung

Wer einen eigenen Linux-Server, eine Firewall auf Linux-Basis oder ein NAS im Büro betreibt, hat nicht zwingend jemanden, der Kernel-Tracker liest.

Aus unserer Sicht reichen die belegten Eckdaten für drei Fragen an den IT-Dienstleister. Welche Kernelversion läuft auf dem Gerät? Bietet der Hersteller der Distribution schon eine behobene Fassung an, bei Debian laut Tracker für bookworm und trixie ja, bei Ubuntu am 31. Oktober 2026 noch nicht? Und läuft dort ein Dienst, der Multipath-TCP anfordert? Die letzte Frage kann nur beantworten, wer die Konfiguration kennt, und heise hält selbst offen, ob dieser Dienst für einen Angriff nötig ist.

Dass eine KI einen elf Jahre alten Fehler im Netzwerkcode findet, ändert am Vorgehen des Betriebs nichts: Updates einspielen, sobald sie da sind. Wir halten es allerdings für wahrscheinlich, dass sich die Zeit zwischen Fund und Ausnutzung solcher Fehler verkürzt, wenn Werkzeuge wie Claude systematisch suchen. Das ist unsere Einschätzung. Folgerichtig sollte die Update-Routine eine feste Frist haben, gerechnet ab dem Tag, an dem der Distributor die Sicherheitsfassung veröffentlicht, und keinen Termin „irgendwann“.

Aus unserer Sicht gehört die Lücke in die normale, aber zügige Update-Routine. Konkrete Angriffe sind laut heise nicht bekannt, der beschriebene Exploit ist nicht öffentlich, und für Debian liegen behobene Fassungen vor. Wer ohnehin regelmäßig patcht, sollte nachsehen, ob sein Kernel schon die behobene Version trägt, und bei Ubuntu die Tracker-Seite im Blick behalten, bis dort eine behobene Fassung steht.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 31. Oktober 2026):

Häufige Fragen

Welche Kernel-Versionen enthalten die Korrektur für CVE-2026-98432?

Laut Meldung des Linux-Kernel-CVE-Teams vom 15. Oktober 2026 wurde der Fehler in Version 4.4 eingeführt und ist in 6.12.113, 6.18.56, 7.2.10 und 7.3-rc7 behoben. Distributionen wie Debian und Ubuntu führen eigene Kernel-Fassungen, die in deren Trackern geführt werden.

Wer hat die Lücke gefunden?

Anthropic gibt an, die Lücke mit Claude gefunden zu haben, nach eigener Angabe mit einem unveröffentlichten internen Forschungsmodell. Auch heise online berichtet, dass Claude sie bei systematischen Tests wichtiger Projekte aufdeckte. Die Exploit-Angaben stammen von Anthropic selbst und sind nicht unabhängig bestätigt.

Wird die Lücke schon angegriffen?

Laut heise online stammt der einzige bekannte Exploit von Anthropic und ist nicht öffentlich. Über konkrete Angriffe weiß heise bislang nichts. Ob ein Multipath-TCP-Dienst für einen Angriff zwingend nötig ist, bezeichnet heise als unklar.

Was sollte ein Betrieb mit eigenem Linux-Server jetzt tun?

heise rät Administratoren, die fehlerbereinigten Kernel möglichst zügig einzuspielen, sobald sie verfügbar sind. Aus unserer Sicht gehört dazu, die laufende Kernelversion zu kennen, den Stand der eigenen Distribution zu prüfen und den IT-Dienstleister zu fragen, ob auf dem Gerät ein Dienst läuft, der Multipath-TCP anfordert. Debian führt am 31. Oktober 2026 für bookworm und trixie Sicherheitsfassungen als behoben, bei Ubuntu steht am selben Tag „work in progress“.

Wer im Betrieb weiß, welche Systeme auf Linux laufen und wann sie zuletzt Updates bekommen haben?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 31. Oktober 2026. Stand der Recherche: 31. Oktober 2026.