0681/410993-0 info@inett.de
Fernwartung
Anmelden Warenkorb
    Home » CVE-2026-98432: Patchstand für Proxmox und Debian

CVE-2026-98432: Patchstand für Proxmox und Debian

CVE-2026-98432, CVSS 9.8: Ein retransmittiertes SYN mit IP-Optionen auf einem lauschenden TCP-Port genügt, um im Linux-Kernel freigegebenen Speicher zu lesen. Debian ist gepatcht, Proxmox ab pve-kernel 7.0.14-25-pve. Prüfen Sie Ihren Kernel mit uname -r.

Erstgespräch vereinbaren 0681/410993-0

30.10.2026 von Mark Eting

CVE-2026-98432 ist am 15.10.2026 veröffentlicht worden, zuletzt aktualisiert am 24.10.2026, und das Linux-CNA stuft die Lücke mit CVSS 9.8 als CRITICAL ein. Es handelt sich um einen Use-after-Free im IPv4-Stack des Kernels. Auslöser ist ein retransmittiertes SYN mit IP-Optionen auf einem lauschenden TCP-Port, über das der Kernel Speicher liest, den er bereits freigegeben hat. Jeder Linux-Server mit lauschendem TCP-Port ist damit potenziell angreifbar. Im Upstream ist der Fix in allen gepflegten stabilen Zweigen enthalten; bei den Distributionen kommt er mit dem jeweiligen Kernel-Paket. Proxmox VE, Debian und Ubuntu haben einen unterschiedlichen Patchstand; ein Befehl zeigt, welchen Kernel Sie fahren. Patchstand: 30.10.2026.

So gibt der Kernel freigegebenen Speicher noch einmal heraus

Die Lücke sitzt in der SYN-Verarbeitung von IPv4: tcp_v4_syn_recv_sock() überträgt ireq->ireq_opt ohne Kopie auf den Child-Socket. Verarbeitet ein anderer CPU-Kern ein retransmittiertes SYN, liest ip_options_build() das opt->optlen aus Speicher, den inet_sock_destruct() und tcp_v4_reqsk_destructor() schon per kfree() freigegeben haben, statt per kfree_rcu() nach einer RCU-Grace-Period. Eingeführt wurde der Fehler mit Commit 079096f103fa.

Ein zweiter Pfad ist die Request-Socket-Migration: Bei net.ipv4.tcp_migrate_req=1 (Standard 0) oder einem BPF-Programm mit BPF_SK_REUSEPORT_SELECT_OR_MIGRATE greift derselbe Fehler. IPv6 ist vom ersten Fehler nicht betroffen; tcp_v6 dupliziert die Optionen.

Der Upstream-Fix e3f33b0a1d89d738e2b913dab519226eaf76e15b („ipv4: free inet_opt and ireq_opt after an RCU grace period“) gibt inet_opt und ireq_opt erst nach einer RCU-Grace-Period frei (af_inet.c, tcp_ipv4.c). Gepatcht ist ab 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 und 7.3. Der CVSS-3.1-Vektor lautet AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ubuntu bewertet die Priorität als High.

Praktisch ausnutzbar ist die Lücke bereits: Anthropic veröffentlichte am 27.10.2026 einen Proof of Concept. Ein Claude-Modell schrieb einen Exploit, der auf Linux-Servern mit MPTCP-Listener Befehle als root ausführt. Der Leak einer Kernel-Adresse dauerte 48 Minuten, die Shell fünf weitere. Zum Redaktionsschluss am 30.10.2026 lagen keine Berichte über Angriffe auf fremde Systeme vor.

Proxmox VE: Fix ab pve-kernel 7.0.14-25-pve, 6.8 und 6.17 ohne Fix

Proxmox baut den pve-kernel aus den Ubuntu-Kernelquellen. Welche Kernel-Version ein Release fährt, steht im Proxmox-Kernel-Wiki: PVE 9.1 nutzt 6.17 (Basis Ubuntu 25.10), PVE 9.0 nutzt 6.14 (Ubuntu 25.04). PVE 8.x nutzt seit 8.2 den 6.8-Kernel (Ubuntu 24.04), seit 8.4 optional 6.14 (siehe Beitrag zu Proxmox VE 8.4).

Die Fix-Kette führt vom Upstream-Commit über den Ubuntu-Backport 091732b7 im Quellstand 7.0.0-43.43 zum pve-kernel ab 7.0.14-25-pve (Commits 52cb2c6e und af113029). Ubuntu führt 7.0.0-43.43 offiziell weiter als „Vulnerable, work in progress“, obwohl der Code den Fix enthält. Ein eigenes Proxmox-Advisory gibt es bislang nicht; der Stand stammt aus dem Forum-Thread.

Der 7.0-Kernel steht seit dem 29.10.2026 in den no-subscription- und test-Repositories bereit. Wechseln Sie auf den 7.0-Kernel, sofern Ihr Release ihn führt, oder warten Sie ein offizielles Proxmox-Advisory ab.

Stand 30.10.2026: Gefixte Kernel in allen Proxmox-Repositories verfügbar

Am 30.10.2026 teilte Proxmox im Support-Forum mit, dass 7.0.14-25-pve und 7.0.14-26-pve nun auch im Enterprise-Repository bereitstehen, die gefixten Kernel also in allen offiziellen Repositories.

Das neueste Release im offiziellen Changelog ist 7.0.14-26-pve vom 22.10.2026; den Fix enthält bereits 7.0.14-25-pve vom 17.10.2026 (Basis Ubuntu-7.0.0-43.43i1). Proxmox bestätigte am 30.10.2026: Der Fix-Commit der offiziellen CVE-Ankündigung ist in beiden Versionen enthalten, der Fix also vollständig. Für 6.8, 6.14 und 6.17 gibt es auch am 30.10.2026 keinen pve-kernel mit Fix.

Prüfen Sie den laufenden Kernel auf jedem Knoten:

uname -r
pveversion -v

Alles ab 7.0.14-25-pve enthält den Fix; 7.0.14-24-pve und älter sind betroffen. Installieren Sie das Kernel-Paket; im Cluster migrieren Sie die VMs live und starten die Knoten rollierend neu. Einen früheren Proxmox-Sicherheitsfix haben wir im September 2024 eingeordnet.

Debian 12 und 13 sind gepatcht, forky und sid ebenfalls

Debian hat die Lücke in allen aktuellen Verteilungen geschlossen. Trixie (13) erhielt den Fix am 16.10.2026 mit linux 6.12.113-1 (DSA-6568-1), zuvor war 6.12.107-1 verwundbar. Bookworm (12) ist seit dem 17.10. mit 6.1.190-1 aus bookworm-security gefixt (DLA-4841-1) und seit dem 22.10. zusätzlich mit linux-6.12 in 6.12.113-1~deb12u1 (DLA-4850-1). Forky liefert 7.2.12-1, sid 7.2.13-1. Die CVE steht in allen drei Advisory-Listen. Weil bookworm inzwischen LTS ist, laufen die DLA-Updates über den LTS-Zweig, siehe Debian 12 ist jetzt LTS.

Aktualisieren Sie mit:

apt update && apt full-upgrade

Gleichen Sie anschließend uname -r mit den gefixten Versionen ab.

Bis zum Patch: Angriffsfläche prüfen, Wartungsfenster planen

Für reine Ubuntu-Server gibt es am 30.10.2026 noch keinen Fix. Noble (24.04) führt 6.8.0-149.149, jammy (22.04) 5.15.0-203.213, resolute (26.04) 7.0.0-43.43 und stonking (26.10) 7.3.0-10.10, alle als „Vulnerable, work in progress“. Ein USN liegt nicht vor. Nur der Patch schließt die Lücke. Bis dahin:

  1. Prüfen Sie den zweiten Angriffsweg: sysctl net.ipv4.tcp_migrate_req muss 0 liefern, das ist der Standard.
  2. Erfassen Sie je Knoten den Kernel-Stand, bei Proxmox mit pveversion -v.
  3. Aktivieren Sie unattended-upgrades für security und patchen Sie sofort, sobald das USN erscheint; beobachten Sie dazu die Ubuntu-CVE-Seite.
  4. Legen Sie den Reboot in ein Wartungsfenster, sobald das USN erscheint. Achten Sie auf Kernel-Crashes; der Use-after-Free kann den Host abstürzen lassen.

Häufige Fragen zu CVE-2026-98432

Bin ich mit Proxmox VE von CVE-2026-98432 betroffen?

Ja, wenn ein Knoten einen Kernel vor dem Fixstand fährt: ab pve-kernel 7.0.14-25-pve ist der Patch drin, 7.0.14-24-pve und älter nicht. Die 6.8-, 6.14- und 6.17-Kernel sind am 30.10.2026 ohne Fix; Ubuntu führt 6.8 als ‚Vulnerable, work in progress‘, den 6.14-Eintrag als ‚Ignored end of life‘.

Wie prüfe ich, ob mein Kernel den Fix enthält?

Mit uname -r, bei Proxmox zusätzlich pveversion -v. Abgleich mit 7.0.14-25-pve (Proxmox) bzw. 6.12.113-1 und 6.1.190-1 (Debian). Für 6.8/6.14/6.17 existiert am 30.10.2026 kein Vergleichswert.

Gibt es für Debian schon ein Update?

Ja: trixie seit 16.10.2026 mit 6.12.113-1 (DSA-6568-1), bookworm seit 17.10. mit 6.1.190-1 (DLA-4841-1) und seit 22.10. mit linux-6.12 in 6.12.113-1~deb12u1 (DLA-4850-1).

Warum hat Ubuntu noch keinen Patch veröffentlicht?

Die Kernel der vier genannten Ubuntu-Releases stehen am 30.10.2026 auf „Vulnerable, work in progress“; ein USN liegt nicht vor. Der Code-Fix steckt bereits in 7.0.0-43.43, den Proxmox ab 7.0.14-25-pve nutzt.

Wird die Lücke schon ausgenutzt?

Ein Exploit ist öffentlich beschrieben (Anthropic, Ende Oktober 2026, MPTCP-Listener, root-Befehle). Angriffe auf fremde Systeme waren zum Redaktionsschluss am 30.10.2026 nicht berichtet.

Wenn Sie den Patchstand Ihrer Knoten nicht selbst prüfen wollen, sprechen Sie uns an: Wir prüfen den Kernel-Stand und begleiten das Update. Mehr dazu unter unserem inett Production Support für Proxmox. Oder Sie melden sich per vertrieb@inett.de bzw. 0681/410993-0.

Quellen

Relevante Artikel in unserem Blog