Ubuntu 22.04 e kernel: falla critica CVE-2026-98432, patch in -proposed

Chi usa Ubuntu 22.04, 24.04 o 26.04 LTS deve controllare il kernel in esecuzione: la correzione per CVE-2026-98432 è nel pocket -proposed, ma Canonical la sta ancora testando e non l’ha pubblicata in updates. La falla riguarda la gestione delle connessioni TCP IPv4 del kernel Linux dalla versione 4.4 in poi, può portare a esecuzione di codice remoto e ha CVSS 3.1 di 9.8, gravità Critica. Per Ubuntu 26.10 le fonti Canonical non concordano: il blog indica la correzione nel kernel 7.3.0-10.10, mentre la scheda CVE aggiornata il 5 novembre segnala ancora il pacchetto linux come vulnerabile, con correzione in lavorazione. Lo stato richiede conferma.

Chi è esposto e cosa fare

Secondo Canonical, le correzioni per Ubuntu 22.04 LTS e successive sono in -proposed. Chi esegue in proprio i test di accettazione del kernel può applicarle, secondo la nuova strategia SRU con cui l’azienda accelera le correzioni delle CVE.

Su Ubuntu 24.04 e successive i pacchetti di -proposed richiedono un’installazione esplicita. Su Ubuntu 22.04, prima di procedere, configura anche il pinning raccomandato da Canonical: nel file /etc/apt/preferences.d/proposed inserisci le tre righe «Package: *», «Pin: release a=jammy-proposed» e «Pin-Priority: 100», così da consentire aggiornamenti selettivi dal pocket. Canonical scrive che Ubuntu 26.10 e le LTS 26.04, 24.04 e 22.04 ricevono le correzioni nell’ambito del supporto standard, e che le pubblicherà in updates appena i test saranno completati.

Cosa permette a chi attacca

La vulnerabilità colpisce la gestione delle connessioni TCP IPv4 del kernel e può portare a esecuzione di codice da remoto. Il post di Canonical non fornisce altri dettagli tecnici.

Secondo Canonical, l’exploit generato da Anthropic, non ancora rilasciato, è descritto come basato su Multipath TCP (MPTCP), ma la falla non è specifica di MPTCP. Al momento della pubblicazione non risultano altri exploit generati o pubblicati.

Versioni vulnerabili e corrette

Stato per release indicato da Canonical per il pacchetto linux.

Come controllare e aggiornare

Confronta il kernel in uso con la tabella. I passaggi indicati da Canonical:

• Esegui uname -r per leggere il kernel in esecuzione.
• Elenca i pacchetti kernel installati con dpkg -l 'linux-image*' | grep ^ii.
• Abilita -proposed con sudo add-apt-repository --component main --pocket proposed http://archive.ubuntu.com/ubuntu, oppure segui le istruzioni linkate nel post.
• Se il kernel è installato tramite meta-pacchetto, esegui sudo apt update e poi il comando di aggiornamento con apt install -t sul pocket -proposed della tua release e l’opzione --only-upgrade, riportato per intero nel post di Canonical.
• Riavvia con sudo reboot: dopo l’aggiornamento del kernel è necessario.

Chi ha Ubuntu 20.04 o più vecchio

Per il pacchetto linux la correzione è in attesa su Ubuntu 20.04, 18.04 e 16.04; Ubuntu 14.04 non è interessata. Canonical ricorda che Ubuntu Pro offre copertura fino a 15 anni: Ubuntu 20.04 LTS e 18.04 LTS sono coperte da Expanded Security Maintenance (ESM), mentre 16.04 LTS e 14.04 LTS richiedono ESM con l’add-on Legacy. Ubuntu Pro è gratuito fino a 5 macchine, o fino a 50 per i membri della community.

MPTCP e prossimi passi

Canonical segnala che diverse fonti consigliano di disattivare MPTCP. Il Security Team di Ubuntu indica però che la correzione non è specifica di MPTCP e che la raccomandazione nasce solo dal fatto che l’exploit non rilasciato usa MPTCP. Per il team gli aggiornamenti di sicurezza sono l’unica mitigazione appropriata.

Canonical aggiornerà il blog quando le correzioni arriveranno nel pocket updates. Lo stato resta consultabile anche nella pagina di Ubuntu dedicata alla CVE.

Leggi anche

• Alpine Linux, falla in openssh-server: login senza password