Linux-Kernel-Lücke im TCP-Stack
(CVE-2026-98432)

Im TCP-Stack des Linux-Kernels wurde mit CVE-2026-98432 eine Use-after-free-Schwachstelle öffentlich bekannt. Unter bestimmten Bedingungen kann ein nicht authentifizierter Angreifer aus der Ferne Code mit Kernel-Rechten ausführen. Auch Sophos-Produkte sind betroffen: Für die Sophos Firewall und die SD-RED-Geräte stehen Updates bereit.

Sophos stuft das Advisory mit High ein. Ein Workaround für die betroffenen Sophos-Produkte existiert nicht, daher ist das Update der einzige Weg zur Behebung. (Stand: 9. November 2026)

Was bisher bekannt ist:

Die Schwachstelle betrifft die IPv4-TCP-Implementierung des Linux-Kernels. Anthropic hat am 27. Oktober einen Remote-Root-Exploit gegen Server mit Multipath-TCP-Listener (MPTCP) beschrieben, den Exploit selbst aber nicht veröffentlicht. Sophos spricht von einer im Labor demonstrierten Remote-Code-Ausführung.

• Keine bekannte Ausnutzung: Sophos liegen keine öffentlichen Berichte über eine Ausnutzung in freier Wildbahn vor. Auch laut weiteren Quellen ist die Lücke nicht im CISA-KEV-Katalog gelistet (Stand 9. November 2026).
• Teil-Proof-of-Concept öffentlich: Seit dem 29. Oktober gibt es öffentlichen Code, der das Gewinnen des Race und einen Kernel-Pointer-Leak zeigt. Code zur Codeausführung wurde nicht gefunden. Andere Quellen sehen bislang gar keinen öffentlichen Exploit-Code.
• Gezielte Scans: Seit dem 2. November berichtet Marcus Hutchins von Scans nach MPTCP-Listenern. Sein Scan zählte am 30. Oktober rund 2,1 Millionen Server, die auf Port 443 über MPTCP erreichbar waren.
• Behördenwarnung: Die Cybersicherheitsagentur Baden-Württemberg hat am 30. Oktober eine Warnung veröffentlicht.

Die technische Ursache: Use-after-free und Race Condition

• Die Schwachstelle: Beim Verbindungsaufbau werden die IP-Optionen der SYN-Anfrage ohne Kopie an das neue Socket übergeben. Beim Freigeben wird nicht abgewartet, bis laufende Lesezugriffe beendet sind. Der Kernel greift dann auf bereits freigegebenen Speicher zu. Die Lücke besteht seit Linux 4.4.
• Die Race Condition: Der Angreifer muss ein Zeitfenster treffen, kann einen verlorenen Versuch aber beliebig oft wiederholen. Deshalb bewerten Linux-Kernel-CNA und Red Hat die Lücke mit CVSS 3.1 9,8 (Critical). SUSE und Oracle kommen auf 8,1, weil sie die Angriffskomplexität höher ansetzen.
• MPTCP ist keine Voraussetzung: Der Fehler liegt im normalen IPv4-TCP-Pfad. Red Hat betont, dass auch Systeme ohne MPTCP betroffen sind. MPTCP war nur der Aufbau im gezeigten Exploit.
• Der Fix: Der Upstream-Fix wurde am 5. Oktober eingespielt, der CVE-Eintrag folgte am 15. Oktober. Linux-Distributionen liefern aktualisierte Kernel-Pakete.

Betroffene Sophos-Produkte und Updates

• Sophos Firewall: Hotfix 1 (veröffentlicht am 6. November 2026) für v23.0 GA, v23.0 EAP1 und v22.0 MR3. Für die Installation ist ein Neustart der Firewall erforderlich. Ist die Option „Allow automatic installation of hotfixes“ aktiv (Standardeinstellung), lädt die Firewall den Hotfix automatisch herunter.
• Andere Firewall-Versionen: Für sie gibt es noch keinen Hotfix. Sophos empfiehlt das Upgrade auf v22.0 MR3 oder v23.0 und aktualisiert das Advisory, sobald weitere Hotfixes verfügbar sind. Einen Termin nennt Sophos nicht und verweist in der Community auf den hohen Aufwand je Firmware-Version.
• Sophos SD-RED 20 und SD-RED 60: Behoben in der SD-RED-Firmware 3.0.012 (veröffentlicht am 5. November 2026), die als Pattern-Update der Sophos Firewall ausgeliefert wird.
• MPTCP auf der Sophos Firewall: Laut einer Sophos-Antwort im Community-Forum ist MPTCP auf der Firewall nicht aktiviert, was das Risiko mindern kann. Sophos bestätigt aber, dass die Firewall betroffen ist. Das Update bleibt erforderlich.
• Weitere Sophos-Produkte: Sophos prüft noch, ob weitere Produkte und Services betroffen sind, und aktualisiert das Advisory laufend.

Weitere Hersteller und Linux-Distributionen

• Fortinet (FG-IR-26-188): Fortinet prüft mehrere Produkte, u. a. FortiOS, FortiProxy, FortiManager und FortiAnalyzer. Das Advisory wurde am 7. November um Informationen zum IPS-Paket ergänzt. Eine Übersicht betroffener und korrigierter Versionen lag zum Zeitpunkt der Recherche noch nicht vor. Fortinet hat zudem einen Hinweis zum Verwerfen von IPv4-Paketen mit Optionen über die NPU veröffentlicht.
• Veeam (KB4966): Betroffen sind Komponenten mit Linux-Kernel. Für Veeam Software Appliance und Veeam Infrastructure Appliance 13.1 gibt es seit dem 2. November ein Update. Für Linux-basierte Helper Appliances in Backup & Replication 13.1 gibt es einen Private Fix, für Version 12.3 ist er angekündigt.
• Linux-Distributionen: Für RHEL, AlmaLinux, Debian und SUSE gibt es korrigierte Kernel. Bei Ubuntu liegen die Fixes im -updates-Kanal, aber noch nicht in -security und ohne Security Notice. Hosts, die nur Security-Updates einspielen (Standard bei unattended-upgrades), erhalten den Fix daher noch nicht automatisch. Ubuntu 20.04 und älter (ESM) sind noch nicht gefixt.

Handlungsempfehlungen: Was Sie jetzt tun sollten

1.Sophos Firewall: Hotfix prüfen und Neustart einplanen

• Prüfen Sie die Firewall-Version. Läuft sie nicht auf v22.0 MR3 oder v23.0, aktualisieren Sie darauf. Der Hotfix wird kurz nach dem Upgrade angeboten, und es ist ein weiterer Neustart nötig.
• Im Control Center erscheint der Hinweis „A critical hotfix requiring a firewall restart has been downloaded“. Starten Sie die Firewall dann in einem Wartungsfenster neu, denn der Neustart unterbricht den Datenverkehr.
• Prüfen Sie den Status in der CLI (Device Console, Option 4) mit system hotfix list. HF110626.1 muss in der Liste stehen und den Status „Installed“ haben.
• Ist die automatische Installation deaktiviert, aktivieren Sie sie mit system hotfix enable und warten, bis der Hotfix heruntergeladen ist.
• Bei HA-Clustern: Starten Sie beide Geräte nacheinander neu, zuerst das Auxiliary-Gerät, danach das Primary-Gerät. system hotfix list funktioniert nur auf dem Primary. Bei Verwaltung über Sophos Fusion muss ebenfalls das Auxiliary-Gerät neu gestartet werden. Der Hinweis im Control Center kann nach dem Failover erneut erscheinen.
• Die Seite „Hotfix: Security updates“ in SFOS 23.0 bleibt für diesen Hotfix leer, da er manuell angewendet wird. Sophos will die Anzeige in den kommenden Wochen nachliefern.
• Installation und Verifizierung sind im Sophos-Artikel KBA-000049730 beschrieben.

2. SD-RED-Geräte aktualisieren

• Stellen Sie sicher, dass SD-RED 20 und SD-RED 60 die Firmware 3.0.012 erhalten haben.

3. Hersteller-Hinweise für Fortinet und Veeam prüfen

• Prüfen Sie das Fortinet-Advisory FG-IR-26-188 und das Veeam-Advisory KB4966 regelmäßig auf neue Versionen und Fixes.

4. Eigene Linux-Systeme und Drittanbieter-Appliances prüfen

• Identifizieren Sie Linux-Systeme, die TCP-Verbindungen aus nicht vertrauenswürdigen Netzen annehmen, und priorisieren Sie internetexponierte Systeme.
• Spielen Sie das Kernel-Update Ihrer Distribution ein und starten Sie neu, damit der gepatchte Kernel geladen wird. Gleichen Sie die laufende Kernel-Version mit dem Security Tracker Ihrer Distribution ab.
• Klären Sie den Patch-Stand von Linux-basierten Appliances anderer Hersteller direkt mit dem Hersteller.
• Temporäre Mitigation (nicht für die Sophos Firewall): Red Hat und Canonical veröffentlichen eine nftables-Regel, die eingehende IPv4-TCP-Pakete mit IP-Optionen verwirft:
  

  table inet cve_2026_98432 {

      chain input {

          type filter hook input priority -310; policy accept;

          ip protocol tcp ip hdrlength > 5 counter drop

      }

  }
• Testen Sie die Regel vorher auf einem Testsystem, denn Workloads, die IP-Optionen nutzen, können gestört werden. Machen Sie sie persistent, da sie sonst beim Neustart verloren geht. Sie verringert das Risiko, ersetzt aber das Kernel-Update nicht.
  

   

• Zusätzlich lässt sich MPTCP mit sysctl -w net.mptcp.enabled=0 deaktivieren. Betroffene Dienste müssen danach neu gestartet werden. Das schließt nur den bisher gezeigten Angriffsweg und beseitigt die Schwachstelle nicht.

Fazit

Kernel-Schwachstellen betreffen nicht nur Server, sondern auch Security-Appliances im Netzwerkrand. Für die Sophos Firewall gilt: Hotfix einspielen, Neustart durchführen, Stand per CLI verifizieren. Zusätzlich sollten Sie alle selbst verwalteten Linux-Systeme inventarisieren und patchen und die Hinweise von Fortinet und Veeam im Blick behalten. Da inzwischen Teile des Angriffs öffentlich nachvollziehbar sind und gezielt nach MPTCP-Listenern gescannt wird, sollten Sie nicht auf eine Ausnutzung in freier Wildbahn warten.