“Anthropicのレポートが示しているのは、MPTCPのリスナーへのパケット送信でrootでのコマンド実行に至った実証と、基になる脆弱性が CVE-2026-98432 であることまで。CVEの説明文と修正コミットにはMPTCPの記載がない”
MPTCPは聴いてないしなぁ……という感じで静観。
とりあえず「人間はプログラムを書いちゃダメ」なフェーズに来た🤔
IPv4オプションのUAFでリモートroot取れるの怖すぎるだろ速攻アプデするわ
ちなみにMPTCPはGoで作成したサービスでもデフォでONになってるから、カーネルだけ更新して安心してると死ぬぞ？Goで作られたサービス使ってたら見直しとけ
Go言語が独自にパケットを処理しているわけではないのでGoがデフォルトでMPTCPを有効にしているのは事実だが、カーネルがアップデートされれば影響はないのでは？（言語の問題ではないという指摘）
大変
MTCPだけでなく通常のIPv4 TCPも影響受ける可能性がある
読んでてよかったマスタリングTCP/IP入門
Linuxカーネル4.4以降の脆弱性CVE-2026-98432を整理。CNA評価9.8。AnthropicがMPTCP環境で認証不要の遠隔root実行を実証。修正版への更新を推奨し、配布元ごとの対応状況も掲載。
ルータとかもヤバそうだよなぁ(・ω・) うちのルータもファームの公開ソース的にはもろに対象だし
Linuxカーネルの脆弱性 CVE-2026-98432 についてまとめてみた - piyolog
“Anthropicのレポートが示しているのは、MPTCPのリスナーへのパケット送信でrootでのコマンド実行に至った実証と、基になる脆弱性が CVE-2026-98432 であることまで。CVEの説明文と修正コミットにはMPTCPの記載がない”
MPTCPは聴いてないしなぁ……という感じで静観。
とりあえず「人間はプログラムを書いちゃダメ」なフェーズに来た🤔
IPv4オプションのUAFでリモートroot取れるの怖すぎるだろ速攻アプデするわ
ちなみにMPTCPはGoで作成したサービスでもデフォでONになってるから、カーネルだけ更新して安心してると死ぬぞ？Goで作られたサービス使ってたら見直しとけ
Go言語が独自にパケットを処理しているわけではないのでGoがデフォルトでMPTCPを有効にしているのは事実だが、カーネルがアップデートされれば影響はないのでは？（言語の問題ではないという指摘）
大変
MTCPだけでなく通常のIPv4 TCPも影響受ける可能性がある
読んでてよかったマスタリングTCP/IP入門
Linuxカーネル4.4以降の脆弱性CVE-2026-98432を整理。CNA評価9.8。AnthropicがMPTCP環境で認証不要の遠隔root実行を実証。修正版への更新を推奨し、配布元ごとの対応状況も掲載。
ルータとかもヤバそうだよなぁ(・ω・) うちのルータもファームの公開ソース的にはもろに対象だし