Sebuah celah keamanan berbahaya pada komponen kode TCP milik kernel Linux, yang secara resmi diberi kode pelacakan CVE-2026-98432, dilaporkan berdampak langsung pada berbagai varian sistem operasi terkemuka seperti Ubuntu, Red Hat Enterprise Linux (RHEL), beserta aneka distribusi Linux lainnya. Tim penanganan CVE internal kernel Linux bahkan menetapkan tingkat keparahan celah ini pada angka yang sangat mengkhawatirkan, yakni mencapai skor 9.8 dari skala maksimal 10 pada penghitungan Common Vulnerability Scoring System (CVSS).
Pihak Anthropic secara resmi mengumumkan pada tanggal 27 Oktober bahwa model kecerdasan buatan miliknya berhasil menyusun sebuah kode eksploit fungsional. Kode eksploitasi tersebut mampu memanfaatkan celah keamanan ini secara efektif untuk memberikan jalan bagi penyerang jarak jauh, yang sama sekali tidak mengantongi hak akses maupun kredensial legal, guna mengeksekusi beragam perintah sistem berbahaya sebagai pengguna root pada peladen Linux yang tengah mengaktifkan mekanisme multipath TCP listener.
Hingga pencatatan tanggal 29 Oktober, pengembang distribusi besar seperti Ubuntu serta RHEL terpantau belum merilis paket pembaruan perbaikan kernel resmi untuk menutup celah kritis tersebut. Sementara itu, sejumlah vendor teknologi terkemuka lain mencakup Red Hat, Amazon, Oracle, serta SUSE justru memberikan evaluasi nilai keparahan kerentanan yang berada pada kisaran skor antara 5.9 hingga 8.1, yang mana angka penilaian ini jauh lebih rendah dibandingkan skor 9.8 yang ditetapkan oleh tim pengembang kernel pusat.
Akar permasalahan dari kerentanan ini sebenarnya berwujud sebuah kondisi perebutan sumber daya atau race condition yang bersemayam di dalam baris instruksi penanganan inisiasi koneksi TCP berbasis protokol IPv4. Masalah kegagalan sinkronisasi internal ini dapat memicu subsistem kernel untuk membaca kembali blok memori fisik yang sejatinya telah dibebaskan atau dihapus sebelumnya, yakni sebuah anomali perangkat lunak kritis yang secara teknis diklasifikasikan sebagai bug bertipe use-after-free.
Catatan rilis tambalan kernel secara formal memberikan penghargaan kepada salah seorang peneliti keamanan siber asal Anthropic bernama Xinyang Ge atas laporan penemuan bug tersebut. Meskipun demikian, berkas pencatatan resmi CVE maupun catatan teknis perbaikan kernel sama sekali tidak mencantumkan keterlibatan fitur multipath TCP (MPTCP). Hubungan spesifik antara keberadaan fitur jaringan tersebut dengan eksploitasi celah ini murni bersumber dari laporan teknis yang dirilis ke publik oleh pihak Anthropic.
Fitur MPTCP itu sendiri merupakan sebuah protokol komunikasi modern yang memungkinkan satu jalur koneksi jaringan memanfaatkan beberapa lintasan fisik transmisi data secara bersamaan sekaligus. Dalam lingkungan operasional Linux, suatu aplikasi jaringan wajib secara eksplisit meminta pengaktifan kapabilitas MPTCP ketika program tersebut mulai membuka socket komunikasi awal.
Dalam keterangan tertulisnya, pihak Anthropic menegaskan bahwasanya kerentanan ini “telah berhasil ditambal pada cabang utama pengembangan (upstream) dan proses penambalan tersebut sudah dialihkan kembali (backported) ke seluruh percabangan kernel stabil yang saat ini masih dipelihara secara aktif.” Namun demikian, bagi segenap pengguna sistem operasi distribusi, kehadiran perbaikan sistem tersebut mutlak bergantung sepenuhnya pada ketersediaan paket kernel resmi yang dirilis oleh masing-masing vendor. Sejauh ini pengembang Debian, Oracle Linux, SUSE, serta Amazon Linux telah meluncurkan pembaruan terdistribusi untuk setidaknya beberapa varian kernel mereka, sedangkan pihak pengelola Ubuntu dan RHEL masih belum menyediakannya.
Distribusi Mana Saja yang Telah Menyediakan Tambalan
Pihak Ubuntu turut mencantumkan varian kernel cloud, kernel berstandar sertifikasi FIPS, serta kernel real-time miliknya ke dalam kategori yang rentan terdampak atau statusnya saat ini masih berada dalam proses pengerjaan internal tim pengembang. Di sisi lain, perwakilan Red Hat menyatakan bahwa jadwal penyelesaian tambalan mereka “saat ini masih ditunda untuk dimasukkan ke dalam pembaruan berikutnya di masa mendatang.” Hingga saat laporan ini disusun, baik pihak pengelola Red Hat maupun Ubuntu sama-sama belum bersedia mengumumkan tenggat waktu kepastian peluncuran resminya.
Bagaimana Bug Tersebut Beroperasi
Kondisi perlombaan atau race condition ini terjadi secara presisi selama fase jabat tangan (handshake) koneksi TCP berlangsung. Ketika sebuah tahapan sambungan jaringan berhasil diselesaikan secara sempurna, kernel akan segera menyerahkan seluruh opsi IP yang sebelumnya tersimpan bersama permintaan koneksi yang masih tertunda (pending request) menuju struktur socket koneksi baru tanpa melakukan proses duplikasi atau penyalinan data terlebih dahulu.
Apabila objek socket baru tersebut lantas dihancurkan secara mendadak pada saat unit pemrosesan sentral (CPU) lain masih aktif menggunakan opsi-opsi data tersebut guna merespons paket kirim ulang koneksi (resent connection request), maka kernel secara otomatis akan membaca sisa memori yang sudah dilepas ke sistem.
Penanganan jaringan berbasis protokol IPv6 dipastikan kebal dan tidak terpengaruh oleh permasalahan race condition ini sama sekali, mengingat subsistem kernel secara bawaan selalu menyalin seluruh kumpulan opsi data secara menyeluruh pada setiap penanganan koneksi IPv6.
Cacat logika perangkat lunak ini pertama kali muncul dan mulai menyusup ke dalam baris kode sejak perilisan kernel Linux versi 4.4. Para pengembang kernel inti baru berhasil menerapkan patch pemulihan teknis pada tanggal 5 Oktober, tepat sepuluh hari sebelum pengumuman resmi identitas kerentanan CVE tersebut dipublikasikan secara luas kepada publik.
Pembaruan tambalan tersebut dirancang untuk memaksa sistem kernel menunggu hingga unit-unit CPU lain tuntas menyelesaikan seluruh proses pembacaan informasi opsi IP secara paripurna sebelum kernel diizinkan membebaskan dan menghapus alokasi ruang memori tersebut dari sistem.
Penyebab Perbedaan Skor Penilaian
Tim penilai CVE internal kernel Linux baru secara resmi menambahkan penetapan skor keparahan sebesar 9.8 ke dalam berkas catatan CVE pada tanggal 24 Oktober, yakni sembilan hari penuh setelah informasi awal celah CVE tersebut pertama kali disiarkan.
Penilaian angka setinggi itu didasarkan pada skenario pemodelan di mana seorang penyerang mengirimkan sebuah paket permintaan koneksi TCP khusus yang memuat opsi bawaan IPv4 berupa Record Route ataupun opsi Timestamp, lantas sengaja mengirimkan kembali paket permintaan identik secara berulang guna memenangkan kondisi perlombaan data (race condition). Tim penilai internal mengkategorikan kompleksitas serangan ini berada pada level rendah (low), dengan dasar argumen bahwa kedua belah sisi dari kondisi perlombaan tersebut sepenuhnya merupakan kondisi yang “dihasilkan oleh tindakan penyerang”.
Dalam skenario serangan yang berhasil tersebut, tim kernel menjelaskan bahwa cacat sistem ini memiliki kemampuan nyata untuk memicu transmisi kebocoran isi memori kernel terdekat langsung kembali ke penyerang, merusak integritas struktur memori kernel secara fatal, ataupun melumpuhkan total perangkat hingga mengalami kondisi crash.
Per tanggal 28 Oktober, lembaga National Vulnerability Database (NVD) milik otoritas pemerintah Amerika Serikat tercatat belum menyematkan perhitungan skor independen mereka sendiri dan masih tetap menampilkan skor 9.8 bawaan dari tim pengembang kernel. Halaman pusat pengumuman keamanan Ubuntu juga terpantau mengadopsi dan menampilkan angka penilaian yang persis sama.
Sebaliknya, laman CVE milik Red Hat mengelompokkan cacat sistem ini ke dalam tingkat keparahan Moderat (Moderate), dengan menyematkan skor evaluasi 5.9 karena mereka beranggapan bahwa kondisi race condition tersebut sangat sulit untuk dimenangkan dalam praktiknya. Mereka berpendapat bahwa dampak insiden yang paling berpeluang terjadi di dunia nyata hanyalah sekadar kerusakan sistem atau kernel crash, dengan potensi korupsi struktur memori yang baru sekadar mungkin terjadi di tataran teori murni, serta menegaskan bahwa “sama sekali belum ada bukti nyata mengenai adanya imbas terhadap kerahasiaan data (confidentiality) maupun integritas sistem (integrity)”.
Anehnya, dokumen pemberitahuan resmi Red Hat berformat machine-readable yang diperbarui pada tanggal 29 Oktober justru menggolongkan bobot ancaman ini ke level Penting (Important) serta melipatgandakan skor kerentanan menjadi 8.1, lengkap dengan indikator dampak kerahasiaan dan integritas yang sama-sama berstatus tinggi. Pada tanggal yang identik, sistem pelacak kutu (bug tracker) internal milik Red Hat juga secara resmi merevisi tingkat keparahan masalah dari medium menjadi high. Namun pada hari yang persis sama, halaman publik CVE mereka tetap saja menampilkan label status Moderat dan skor 5.9.
Vendor teknologi raksasa lain seperti Oracle dan SUSE turut mencantumkan skor tingkat keparahan sebesar 8.1, yang mana keduanya menggunakan vektor metrik CVSS yang sepenuhnya seragam dengan rincian berkas penasihat milik Red Hat. Keseluruhan nilai penilaian dari kedua vendor tersebut sejatinya sangat cocok dan bersesuaian dengan setiap indikator metrik yang diajukan oleh tim kernel, terkecuali pada poin metrik kompleksitas serangan (attack complexity), di mana pihak vendor menilainya berada pada tingkat yang tinggi (high) sedangkan tim internal kernel menilainya sangat rendah (low). Di tempat lain, Amazon menetapkan nilai keparahannya pada skor 7.0.
Penjelasan Anthropic Mengenai Eksploit yang Diciptakannya
Pihak Anthropic memaparkan rincian teknis eksploitasi sistem Linux ini melalui sebuah tulisan panjang bertanggal 27 Oktober yang mengulas aneka kerentanan yang berhasil dideteksi serta dieksploitasi secara mandiri oleh model kecerdasan buatan mereka yang bernama Claude. Publikasi media The Hacker News kemudian mengabarkan postingan mendalam tersebut pada tanggal 28 Oktober. Anthropic menjelaskan bahwa model Claude sukses merancang dan menulis seluruh runtutan kode eksploitasi fungsional tersebut hanya berbekal “pemberian instruksi awal (prompting)”.
Mekanisme penyerangan dari eksploit ini berjalan melalui dua tahapan utama yang terstruktur. Pada tahap perdana, keberadaan race condition dimanipulasi sedemikian rupa agar memaksa kernel mentransmisikan deretan bita memori tambahan kembali menuju pihak penyerang. Begitu salah satu dari respons data tersebut sukses membocorkan alamat memori riil kernel, penyerang seketika memiliki modal informasi yang cukup untuk menembus dan melumpuhkan sistem pertahanan KASLR, yakni mekanisme pengacakan tata letak alamat ruang memori kernel (Kernel Address Space Layout Randomization).
Memasuki fase kedua, celah kepincangan alokasi memori yang sama dipakai untuk memicu luapan penyangga (buffer overflow) dan menimpa fungsi callback pointer secara tepat dengan alamat muatan berbahaya (payload) yang telah disusupkan lebih dahulu oleh penyerang ke dalam memori kernel. Tepat ketika kernel memanggil instruksi pointer tersebut, muatan payload liar itu akan secara instan mengeksekusi perintah shell pilihan penyerang dengan hak akses absolut sebagai pengguna tertinggi, yakni root.
Kegagalan dalam memenangkan satu putaran race condition semata-mata hanya akan menggagalkan satu upaya percobaan inisiasi koneksi tersebut saja dan sama sekali tidak menimbulkan crash pada keseluruhan sistem peladen, sehingga pihak peretas bebas mengulang-ulang proses serangan tanpa henti sampai berhasil, ungkap penjelasan perusahaan AI tersebut. Berdasarkan hasil pengujian eksperimen yang mereka lakukan, proses untuk membocorkan alamat memori kernel memerlukan rentang waktu sekitar 48 menit, sementara proses penetrasi lanjutannya hingga sukses mengeksekusi instruksi konsol shell hanya memakan waktu tambahan selama 5 menit saja.
Publikasi artikel dari Anthropic tersebut terpantau tidak menyertakan rincian baris kode eksploitasi mentah, tidak memaparkan spesifikasi nomor versi kernel yang diuji, dan juga tidak membeberkan konfigurasi lingkungan sistem yang mereka terapkan selama sesi pengetesan.
Analisis pihak Red Hat menyebutkan bahwa setiap penyerang jarak jauh yang memiliki kapasitas jaringan untuk menjangkau port layanan TCP terbuka pada dasarnya dapat memicu kondisi race condition ini. Kendati demikian, pembuktian eksekusi root milik Anthropic secara khusus menyasar mesin server yang secara sengaja mengoperasikan fungsi multipath TCP listener. Laporan tersebut sayangnya tidak menerangkan lebih jauh apakah sistem peladen jaringan yang beroperasi tanpa fitur tersebut juga dapat diambil alih dengan skema identik.
Hingga pencatatan tanggal 29 Oktober, tidak ada satu pun pengumuman penasihat vendor, catatan basis data CVE, maupun rilis analisis dari Anthropic yang mendeteksi adanya aktivitas serangan nyata di alam liar yang memanfaatkan celah ini. Masalah keamanan ini juga tercatat belum terdaftar ke dalam salinan katalog Kerentanan yang Diketahui Telah Dieksploitasi (Known Exploited Vulnerabilities) milik CISA, sebagaimana data pembaruan terkini yang dirilis oleh lembaga CIRCL Luksemburg per tanggal 28 Oktober.
Bagi para pengguna yang distribusi sistem operasinya telah resmi menggulirkan paket kernel perbaikan, disarankan untuk sesegera mungkin mengunduh dan memasangnya. Tabel informasi di atas telah menyajikan daftar paket perbaikan beserta dokumen penasihat resmi untuk ekosistem distribusi Debian, Oracle Linux, SUSE, serta Amazon Linux.
Apabila Anda mengelola infrastruktur dengan melakukan kompilasi mandiri pada kernel sumber terbuka Anda, paket pembaruan resmi telah terintegrasi di dalam kernel Linux versi 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, serta versi 7.3. Tim penanganan CVE kernel Linux sangat merekomendasikan langkah pemutakhiran menyeluruh ke versi kernel stabil termutakhir. Mereka menggarisbawahi bahwa komunitas pengembang kernel resmi pada prinsipnya tidak mendukung metode cherry-picking atau penerapan perbaikan secara parsial pada baris kode individual.
Hingga saat ini, sistem operasi Ubuntu, RHEL, serta beberapa rilis cabang dari Amazon Linux dan SUSE tercatat masih belum memiliki paket kernel perbaikan yang siap dipasang oleh pengguna. Pihak Red Hat secara gamblang menegaskan bahwa saat ini belum ditemukan teknik mitigasi sementara yang mampu memenuhi standar operasional mereka dalam hal kemudahan implementasi, stabilitas operasional, serta kelayakan penerapan pada mayoritas instalasi server. Dokumen penasihat dari vendor lainnya pun tidak mencantumkan solusi mitigasi alternatif apa pun.
Seluruh dokumen pemberitahuan vendor yang tersedia serta postingan laporan teknis dari Anthropic sama sekali tidak memuat keterangan apakah langkah mematikan fungsionalitas multipath TCP secara manual, atau tindakan pemblokiran paket permintaan koneksi masuk yang memuat parameter opsi IP khusus, benar-benar berkhasiat nyata dalam meminimalisasi eksposur risiko serangan keamanan tersebut.
