Sebuah kelemahan berbahaya di dalam rangkaian kode TCP milik kernel Linux, yang kini terdata secara formal sebagai CVE-2026-98432, memberikan dampak risiko keamanan nyata pada sistem operasi terkenal seperti Ubuntu, Red Hat Enterprise Linux (RHEL), beserta beberapa ragam distribusi Linux populer lainnya. Berdasarkan metrik evaluasi risiko yang dilakukan oleh unit tim internal kernel Linux pengelola nomor CVE resmi, kecacatan ini diberi label nilai tingkat keparahan mencapai 9,8 dari angka maksimal 10 pada skala penilaian standar Common Vulnerability Scoring System (CVSS).
Perusahaan riset teknologi Anthropic mengumumkan secara terbuka pada tanggal 27 Oktober bahwa program kecerdasan buatan komputasi mereka telah berhasil merancang sekaligus menyusun sebuah instrumen eksploitasi fungsional. Rancangan peretasan tersebut sanggup memanfaatkan celah keamanan perangkat lunak ini guna mengizinkan pihak penyerang siber jarak jauh tanpa kepemilikan kredensial autentikasi untuk meluncurkan berbagai perintah sistem operasi dalam tingkat hak istimewa paling tinggi, yaitu root, menyasar mesin server Linux aktif yang menyalakan penanganan komunikasi data multipath TCP listener.
Hingga perkembangan situasi pada tanggal 29 Oktober, kelompok pengembang perangkat lunak utama Ubuntu maupun platform RHEL terdata belum sama sekali menggulirkan versi mutakhir pembaruan kernel yang sudah ditambal. Menariknya, sejumlah korporasi pengembang sistem komputasi lainnya seperti pihak Red Hat, Amazon, penyedia Oracle, hingga pihak SUSE menetapkan skala bahaya kerentanan digital ini di rentang nilai peringkat 5,9 sampai 8,1, yang mana angka perhitungan tersebut berada jauh di bawah nilai ekstrem 9,8 bentukan pengelola kernel inti.
Akar kegagalan arsitektur perangkat lunak ini berpusat pada masalah perlombaan eksekusi proses simultan atau race condition yang terdapat dalam instruksi logika pengaturan perakitan koneksi data protokol IPv4 TCP terbaru. Kelainan proses internal tersebut memicu kernel secara tidak sengaja membaca blok ruang memori fisik yang sebetulnya telah dilepaskan dan dibebaskan dari penggunaan sebelumnya, yang dalam ranah keamanan rekayasa digital lazim diistilahkan sebagai anomali use-after-free.
Dokumen resmi catatan perbaikan kode sistem inti Linux mencatat nama peneliti spesialis dari Anthropic, Xinyang Ge, sebagai sosok yang mula-mula menemukan lalu melaporkan anomali celah ini. Uniknya, di dalam lembar rekam data publikasi CVE maupun ulasan dokumen kode perbaikan teknis, tidak tertera sekalipun rujukan langsung terhadap penggunaan fitur multipath TCP (MPTCP). Hubungan spesifik antara kapabilitas komunikasi MPTCP dan manifestasi celah bahaya ini murni diungkapkan pertama kali melalui catatan tulisan publik yang diunggah oleh pihak Anthropic.
Keberadaan arsitektur fungsional MPTCP itu sendiri berfungsi memberikan jalan bagi satu jalur komunikasi koneksi tunggal untuk secara bersamaan memanfaatkan beberapa rute lalu lintas jaringan fisik berbeda. Pada lingkungan instalasi sistem operasi Linux, modul aplikasi tertentu diwajibkan secara sengaja mengajukan permohonan pemakaian fungsi soket MPTCP ini pada momen awal ketika jalur soket komunikasi jaringan hendak diinisiasi dan dibuka ke publik.
Dalam keterangan tertulisnya, pihak Anthropic menegaskan bahwasanya lubang keamanan sistem ini "telah berhasil ditambal secara komprehensif pada cabang kode hulu utama upstream serta diadaptasikan kembali secara backported ke seluruh cabang kode kernel stabil yang saat ini berstatus aktif dipelihara." Namun demikian, bagi kelompok masyarakat umum pemakai ragam distribusi Linux konsumen, perbaikan penting tersebut hanya akan hadir ketika paket bundel kernel khusus yang dirilis resmi oleh masing-masing vendor distribusi telah siap diunduh. Pihak pembuat distribusi Debian, pengembang Oracle Linux, korporasi SUSE, serta penyedia infrastruktur Amazon Linux terkonfirmasi sudah mulai mengalirkan pembaruan aman paket kernel, setidaknya untuk sebagian varian kernel mereka, sedangkan lingkungan ekosistem Ubuntu dan RHEL masih tertinggal tanpa pembaruan.
Daftar Distribusi yang Sudah Menyediakan Penambalan
Berdasarkan rilis pemetaan status yang ada, tim Ubuntu turut mencatatkan jajaran instalasi kernel lingkungan komputasi awan cloud, modul berbasis sertifikasi standar FIPS, serta varian kernel berkarakteristik real-time mereka ke dalam kelompok sistem yang masih rentan atau dalam tahapan penanganan aktif yang belum selesai dikerjakan. Sementara itu, pihak Red Hat menyatakan bahwa rangkaian paket perbaikan mutakhir untuk produk sistem mereka "saat ini masih sengaja ditangguhkan demi penyaluran paket pembaruan berikutnya di masa yang akan datang." Baik kelompok pembuat Red Hat maupun institusi Ubuntu sampai sekarang sama-sama tidak menyebutkan rincian jadwal kalender tanggal rilis kepastiannya.
Mekanisme Teknis Terjadinya Gangguan Sistem
Masalah persaingan logika eksekusi data tersebut meletus di tengah keberlangsungan tahapan inisiasi sambungan data atau TCP handshake. Saat proses interaksi pembentukan koneksi telah rampung diwujudkan, kernel komputasi akan langsung mengalihkan penanganan seluruh parameter opsi konfigurasi IP yang tersimpan bersama paket permintaan antrean awal menuju struktur soket baru yang tercipta tanpa sempat menyalin fisik duplikat datanya.
Kala soket penerima baru tersebut mendadak dihancurkan atau dimatikan fungsinya, sementara di waktu yang berbarengan unit CPU prosesor lain ternyata masih sibuk membaca susunan parameter opsi tadi guna membalas paket kiriman permintaan koneksi yang terulang kembali, maka kernel sistem seketika dipaksa membaca area memori kosong yang sudah berstatus dibuang.
Berbeda halnya dengan model protokol IPv6 yang sepenuhnya terbukti kebal dari risiko tabrakan kondisi proses ini. Hal itu dimungkinkan lantaran instruksi kerja internal kernel Linux secara teratur selalu membuat salinan duplikat data lengkap atas setiap opsi parameter konfigurasi pada model rangkaian sambungan IPv6.
Sejarah kemunculan galat pemrograman sistem dasar ini diidentifikasi pertama kali tersemat semenjak peluncuran platform kernel Linux versi 4.4. Regu insinyur pemelihara kernel hulu sejatinya telah berhasil menerapkan perbaikan baris kode sejak tanggal 5 Oktober, yakni sepuluh hari lebih cepat sebelum lembar pengumuman publik CVE ini resmi dibagikan ke khalayak luas.
Langkah perbaikan arsitektur kode tersebut dirancang secara ketat untuk menahan dan memaksa sistem kernel menunggu hingga semua unit CPU prosesor pendamping tuntas merampungkan tugas pembacaan isi opsi parameter konfigurasi secara menyeluruh, sebelum akhirnya kernel diizinkan memusnahkan atau membebaskan alokasi ruang memorinya.
Faktor Pemicu Perbedaan Skor Keparahan
Badan pengelola internal CVE untuk kernel Linux secara definitif memasukkan angka bobot 9,8 ke dalam lembar catatan data resmi CVE pada tanggal 24 Oktober, persis berselang sembilan hari sehabis pengumuman nomor masalah keamanan tersebut pertama kali diangkat ke ruang publik.
Pemberian bobot metrik risiko yang teramat tinggi tersebut didasarkan atas skenario simulasi di mana penyerang sengaja menyalurkan transmisi permintaan pembuatan koneksi TCP yang sengaja dimuati atribut opsi IPv4 Record Route atau penanda Timestamp, kemudian dengan cepat menembakkan kembali paket data tersebut secara beruntun demi memenangkan tabrakan siklus proses balapan sistem. Pengelola kernel lantas menilai tingkat kompleksitas serangan berada pada level rendah, dengan argumen mendasar bahwa kedua poros kondisi dalam balapan proses itu "dipicu dan diatur sepenuhnya oleh pihak pelaku penyerangan."
Apabila skenario kejahatan semacam itu berhasil digulirkan secara sempurna, tim spesialis kernel mengingatkan bahwa cacat sistem tersebut sanggup membuat data memori rahasia kernel di sekitarnya bocor kembali terkirim ke penyerang, merusak keutuhan integritas memori terdalam kernel, atau berujung melumpuhkan operasional mesin secara total lewat peristiwa kernel crash.
Sampai catatan tanggal 28 Oktober, lembaga pencatat resmi National Vulnerability Database (NVD) terpantau masih belum mendistribusikan angka hitungan kalkulasi mandiri mereka sendiri, melainkan semata-mata mengadopsi tampilan angka skor 9,8 milik regu kernel. Halaman pusat pengumuman resmi Ubuntu pun turut merujuk angka skor yang identik.
Secara kontras, lembar resmi CVE kepunyaan Red Hat memilih memosisikan level ancaman bahaya ini pada status bahaya Menengah atau Moderate, dengan menyematkan skor kalkulasi di angka 5,9 dengan dalih bahwa situasi persaingan proses memori tersebut teramat rumit untuk dimenangkan secara sengaja. Red Hat berpendapat bahwa imbas paling realistis yang bisa ditimbulkan adalah malfungsi berhentinya operasi kernel, meski kerusakan data memori internal secara teori memang bisa terjadi, seraya menegaskan "tidak ada bukti nyata yang menunjukkan adanya dampak kebocoran kerahasiaan atau manipulasi integritas data."
Namun, sebuah anomali terlihat tatkala dokumen penasihat teknis Red Hat berbasis format pembacaan mesin yang mengalami pembaruan pada tanggal 29 Oktober justru menggolongkan dampak kerentanan ini pada level Penting atau Important dengan menaikkan skor menjadi 8,1, disertai pengakuan adanya imbas keparahan tingkat tinggi pada kerahasiaan dan integritas data. Sistem aplikasi pelacak bug Red Hat pun serentak menggeser label keparahan dari medium melonjak ke derajat high pada hari itu juga. Walaupun anehnya, portal web CVE interaktif Red Hat pada waktu yang sama tetap menampilkan label status bahaya Moderate dan skor lama 5,9.
Di tempat terpisah, tim teknis Oracle dan institusi SUSE kompak mematok penilaian keparahan di angka 8,1, mengadopsi struktur vektor kalkulasi CVSS yang serupa persis dengan lembar penasihat mesin milik Red Hat. Keseluruhan indikator angka tersebut sejalan dengan temuan tim kernel, terkecuali pada poin metrik kompleksitas serangan, di mana vendor menilai serbuan ini berkategori rumit atau tinggi, sedangkan regu inti kernel menganggapnya berpeluang mudah atau rendah. Adapun pihak vendor komputasi Amazon menyematkan kalkulasi bahaya di nilai 7,0.
Hasil Temuan Rekayasa Eksploitasi Anthropic
Rincian operasional keberhasilan pembobolan sistem Linux ini dipaparkan secara gamblang oleh Anthropic dalam catatan tanggal 27 Oktober terkait kapabilitas model komputasi kecerdasan buatan mereka, Claude, dalam mendeteksi dan mengeksekusi celah keamanan. Media siber The Hacker News lalu mengulas artikel pengumuman itu pada tanggal 28 Oktober. Anthropic memaparkan bahwa Claude sanggup mendesain kode eksploitasi fungsional tersebut murni berbekal "serangkaian perintah instruksi awal."
Tata cara kerja eksploitasi berbahaya ini dieksekusi melalui dua tahapan beruntun. Pada langkah pembuka, ketimpangan siklus persaingan instruksi memaksa kernel mengirimkan balik pecahan byte data memori ekstra ke arah mesin sang penyerang. Begitu untaian byte balasan itu memuat serpihan alamat penunjuk memori kernel orisinal, penyerang bisa seketika menembus proteksi KASLR, yakni sistem acak pengamanan alamat memori kernel.
Memasuki fase kedua, celah serupa dipakai untuk menciptakan luapan memori penyangga dan menimpa fungsi pointer panggilan balik dengan alamat muatan payload jahat yang sebelumnya telah disusupkan pelaku ke dalam ruang memori kernel. Tatkala instruksi sistem kernel tanpa sadar memanggil fungsi penunjuk tersebut, skrip payload berbahaya secara otomatis langsung menjalankan instruksi perintah shell pilihan pihak penyerang dalam mode kewenangan penuh root.
Anthropic menambahkan bahwa kegagalan penyerang saat melancarkan balapan instruksi hanya akan berakibat pada pembatalan satu sesi percobaan sambungan semata tanpa membuat komputer server tumbang seketika, sehingga peretas bebas mengulang upaya serangannya secara terus-menerus. Dalam eksperimen uji coba mereka, proses membocorkan alamat memori kernel memakan durasi 48 menit, dan dibutuhkan waktu tambahan 5 menit berikutnya guna merebut kontrol pengeksekusian perintah shell sepenuhnya.
Kendati demikian, lembar pengumuman publik dari Anthropic tersebut sama sekali tidak menyertakan baris kode eksploitasi asli, rincian edisi kernel yang diuji, maupun spesifikasi detail tata kelola server yang mereka pakai selama simulasi.
Catatan analis Red Hat menjabarkan bahwa pihak penyerang tanpa hak akses yang mampu menjangkau fasilitas servis jaringan TCP terbuka berpotensi memicu timbulnya anomali proses ini. Walau begitu, demonstrasi peretasan level tertinggi root yang dipertontonkan Anthropic secara khusus diarahkan pada sasaran mesin server penyedia fungsi multipath TCP listener. Tulisan ulasan tersebut tidak memberikan kejelasan apakah mesin server konvensional tanpa konfigurasi pendengar MPTCP dapat diretas menggunakan metode setara.
Terhitung sampai tanggal 29 Oktober, tidak ada satu pun pengumuman resmi vendor, arsip CVE, maupun tulisan dari Anthropic yang merekam insiden serangan nyata di dunia nyata dengan memanfaatkan celah ini. Masalah ini juga terpantau nihil di dalam catatan salinan katalog Known Exploited Vulnerabilities kepunyaan CISA yang sempat diselaraskan kembali oleh lembaga CIRCL Luksemburg per tanggal 28 Oktober.
Bagi para pengelola infrastruktur yang mendapati distribusi sistem operasinya telah menyebarkan paket pembaruan kernel yang bersih, tindakan pemasangan instalasi tambalan harus segera diimplementasikan. Daftar panduan teknis telah memuat paket perbaikan dari pihak Debian, Oracle Linux, SUSE, serta Amazon Linux.
Sementara bagi kalangan administrator yang mengompilasi kernel sistem secara mandiri, baris kode koreksi perbaikan telah terintegrasi di dalam rilis resmi kernel Linux versi 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, serta versi 7.3. Lembaga penanganan CVE kernel Linux sangat merekomendasikan migrasi penuh ke rilis edisi kernel stabil teranyar. Mereka menekankan bahwa komunitas pengembang kernel resmi menolak skema penerapan tambalan tambal sulam yang dipetik secara individual.
Sayangnya, sistem berbasis Ubuntu, RHEL, beserta beberapa varian terbitan Amazon Linux dan platform SUSE tertentu hingga saat ini belum memiliki ketersediaan paket kernel perbaikan yang siap dipasang. Red Hat berdalih bahwa saat ini belum ditemukan satu pun prosedur mitigasi alternatif yang sanggup memenuhi standar kelayakan mereka, khususnya dalam hal kemudahan instalasi, kestabilan kinerja, dan kecocokan bagi mayoritas operasional server. Tak ada satu pun vendor lain yang memberikan petunjuk mitigasi darurat.
Seluruh dokumen panduan vendor maupun publikasi pengumuman dari Anthropic pun tidak memberi kepastian apakah tindakan mematikan fitur operasional multipath TCP secara total, atau langkah memblokir setiap paket koneksi masuk yang memuat opsi parameter IP khusus, sanggup secara efektif meminimalisasi risiko serangan ini.
