Beberapa hari terakhir linimasa infosec rame ngomongin satu CVE baru di kernel Linux: CVE-2026-98432. Skornya CVSS 9.8 (Critical), remote, tanpa autentikasi, tanpa interaksi user. Buat orang yang kerja di balik layar server Ubuntu (atau distro apapun), ini jenis bug yang bikin on-call harus begadang.
Berhubung latar belakang saya dulu networking & Linux, saya coba bedah bug ini sedetail mungkin: kenapa bisa kejadian, gimana alur seranganya, efek dan dampaknya, apakah cuma Ubuntu yang kena, sampai apa yang mestinya dilakukan system engineer dan IT manager begitu notifikasi CVE ini masuk inbox.
CVE-2026-98432 adalah bug use-after-free (UAF) di stack IPv4/TCP kernel Linux, tepatnya di penanganan IP options (Record Route dan Timestamp) pada saat TCP three-way handshake. Bug ini direservasi 25 September 2026, dipublikasikan 15 Oktober 2026, dan detail root cause-nya baru dibahas terbuka di milis oss-security pada 30 Oktober 2026.
Bug ini berdampak di level ring-0 karena ada di kernel, dan jalur kodenya dilewati sebelum ada autentikasi apapun: tepatnya saat kernel memproses paket SYN yang masuk ke listener TCP yang aktif.
Supaya enak dibayangkan, ini alurnya secara sederhana:
reqsk) melalui pointer bernama ireq_opt.tcp_v4_syn_recv_sock() memindahkan kepemilikan pointer ireq_opt tadi ke inet_opt milik child socket, tanpa menyalin (copy) datanya. Jadi satu buffer yang sama dipakai bersama antara request socket lama dan child socket baru.079096f103fa), bisa saja CPU lain secara bersamaan memproses retransmisi SYN untuk request socket yang sama, lalu mencoba mengirim SYNACK lewat tcp_v4_send_synack().tcp_v4_send_synack(), inet_csk_route_req(), ip_build_and_send_pkt(), ip_options_build()) membaca ireq_opt hanya dengan proteksi rcu_read_lock(). Di sisi lain, destructor-nya, inet_sock_destruct(), membebaskan inet_opt dengan kfree() biasa, bukan kfree_rcu().Singkatnya, ini murni race condition antara proses pembuatan child socket/teardown koneksi di satu sisi, dan proses retransmisi SYN di sisi lain, ditambah kelalaian memakai mekanisme RCU-safe free di jalur yang sudah RCU-read di sisi lainnya. Masalah serupa juga ditemukan pada fitur request socket migration (net.ipv4.tcp_migrate_req=1, atau saat memakai program eBPF BPF_SK_REUSEPORT_SELECT_OR_MIGRATE), yang juga menggunakan kfree() biasa di tcp_v4_reqsk_destructor().
Perbaikannya sendiri relatif sederhana secara kode: pindah dari kfree() ke kfree_rcu() pada kedua destructor tadi, konsisten dengan pola yang sudah dipakai di jalur lain yang mengganti inet_opt (seperti do_ip_setsockopt()). Tapi walaupun fix-nya kecil, window bug ini sudah terbuka sejak IPv4 request socket diproses tanpa listener lock, artinya ini bug lama yang baru “ketahuan” sekarang.
CVE ini dapat skor CVSS 3.1: 9.8 (Critical) dengan vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Kalau diterjemahkan:
ip_options_build() bisa menyalin isi memori “bekas” tadi ke dalam paket SYNACK yang dikirim ke penyerang, sehingga isi heap kernel yang berdekatan bisa bocor keluar lewat jaringan.srr, rr, ts) dari objek yang sudah di-reclaim bisa dipakai untuk mengarahkan operasi memcpy atau penulisan alamat di ip_options_build(), berpotensi jadi out-of-bounds write di kernel.optlen yang sudah basi bisa membuat ip_build_and_send_pkt() memanggil skb_push() melebihi kapasitas headroom, memicu skb_under_panic(), alias kernel panic atau crash.Rentang skenario yang mungkin terjadi dari satu bug ini cukup luas: mulai dari denial of service (server crash berulang), kebocoran data sensitif dari memori kernel, sampai memory corruption yang berpotensi dieksploitasi lebih lanjut jadi remote code execution, meski mengeksploitasi UAF kernel untuk RCE penuh biasanya tetap butuh teknik heap-grooming yang tidak sepele. Untuk sekadar bikin server down atau mengintip memori kernel, eksploitasinya realistis dibuat.
CVE-2026-98432 bukan bug khas Ubuntu, dan bukan patch Canonical. Ini bug di upstream Linux kernel itu sendiri, tercatat di berkas net/ipv4/af_inet.c dan net/ipv4/tcp_ipv4.c, dan menjangkau rentang versi kernel yang sangat lebar.
Artinya, semua distribusi Linux yang menjalankan kernel versi terdampak berpotensi kena, bukan cuma Ubuntu:
Yang membedakan hanya kapan dan bagaimana tiap vendor merilis patch backport-nya. Ubuntu, Debian, RHEL, dan sebagainya masing-masing punya tim security yang akan menyiapkan paket kernel baru begitu patch upstream tersedia, tapi root cause dan risikonya sama persis karena datang dari kode kernel yang sama.
Catatan tambahan dari deskripsi upstream: IPv6 tidak terdampak oleh isu pertama ini, karena tcp_v6_syn_recv_sock() memang sudah menyalin (duplicate) opsi, bukan memindahkan pointer-nya. Tapi untuk skenario request socket migration, IPv6 punya potensi isu serupa pada ipv6_opt (dipakai CALIPSO) yang menurut catatan upstream akan ditangani di patch terpisah. Jadi kalau di jaringan Anda IPv6 dominan dan fitur migrasi reqsk tidak dipakai, eksposurnya untuk CVE spesifik ini lebih kecil, tapi tetap perlu update kernel begitu patch tersedia.
Berdasarkan data CVE record resmi, kernel dianggap tidak terdampak (sudah mengandung fix) mulai versi berikut:
| Branch | Versi aman mulai |
|---|---|
| 5.10.x | 5.10.272 |
| 5.15.x | 5.15.223 |
| 6.1.x | 6.1.190 |
| 6.6.x | 6.6.159 |
| 6.12.x | 6.12.113 |
| 6.18.x | 6.18.56 |
| 7.2.x | 7.2.10 |
| 7.3 | sudah termasuk fix sejak awal |
Semua versi dari 4.4 ke atas, di bawah angka-angka tersebut, berstatus affected. Untuk Ubuntu, ini berarti hampir semua rilis LTS yang masih didukung (20.04, 22.04, 24.04, 26.04) berpotensi terdampak tergantung kernel branch dan patch level yang mereka pakai (termasuk varian linux-generic, linux-hwe, linux-aws, linux-gke, dan seterusnya).
Per tulisan ini dibuat, saya belum menemukan nomor USN (Ubuntu Security Notice) resmi yang secara spesifik menyebut CVE-2026-98432, wajar mengingat detail root cause-nya baru dipublikasikan ke publik 30 Oktober 2026. Jangan jadikan ini sebagai tanda Ubuntu aman: cek berkala halaman resmi ubuntu.com/security/CVE-2026-98432 dan Ubuntu Security Notices untuk status per-rilis begitu Canonical menerbitkan USN-nya, karena dengan skor 9.8 kemungkinan besar ini akan jadi prioritas tinggi untuk di-backport segera.
Karena ini bug di jalur inti penanganan paket TCP SYN, mitigasi yang paling solid tetap patching kernel, bukan workaround. Tapi berikut yang bisa dilakukan:
kfree_rcu() tersebut.net.ipv4.tcp_migrate_req, kalau tidak benar-benar dipakai (misalnya untuk load balancing SO_REUSEPORT tingkat lanjut), pertimbangkan nonaktifkan sementara sampai kernel terpatch, karena jalur ini juga kena isu yang sama di sisi migrasi request socket.Kalau Anda yang pegang server sehari-hari, ini daftar langkah konkretnya:
uname -r lalu cocokkan ke tabel versi aman di atas, atau pakai tools seperti pro security-status (Ubuntu Pro), apt list --upgradable, atau vulnerability scanner internal.apt update && apt upgrade untuk Ubuntu/Debian, atau mekanisme patch management internal) begitu paket kernel terbaru tersedia. Jangan menunggu siklus patching reguler kalau ini masuk kategori critical.Dari sisi manajerial, fokusnya ada di manajemen risiko dan koordinasi, bukan detail teknis:
CVE-2026-98432 menunjukkan kenapa defense in depth itu penting: bug-nya ada di jalur paling dasar networking kernel Linux (penanganan TCP handshake dan IP options), dengan dampak potensial dari DoS, kebocoran memori kernel, sampai memory corruption, semuanya tanpa butuh autentikasi atau interaksi user. Karena ini bug di upstream kernel, bukan patch Ubuntu semata, semua distro Linux yang menjalankan kernel versi terdampak perlu melakukan hal yang sama: update begitu patch tersedia.
Buat system engineer, saatnya cek inventaris kernel dan jalankan patching darurat; buat IT manager, pastikan proses emergency patching itu benar-benar berjalan, bukan cuma ada di dokumen kebijakan.