CVE-2026-98432 no Ubuntu: como checar kernel e acompanhar a correção
Confira o kernel ativo, o estado do pacote e os limites da mitigação temporária
Um roteiro para identificar o kernel do servidor Ubuntu, consultar a correção da CVE-2026-98432 e avaliar a mitigação sem confundir testes com atualização estável.
A CVE-2026-98432 afeta o tratamento de conexões TCP IPv4 no kernel Linux. Para quem administra um servidor Ubuntu, a tarefa imediata é identificar o kernel ativo, conferir a situação do pacote correspondente e planejar a correção. Um número de versão no rastreador não basta para concluir que a atualização já chegou ao canal estável.
O que foi confirmado
Na consulta de 3 de novembro de 2026, a Ubuntu classifica a falha como Critical e informa CVSS v3.1 9.8. A equipe de segurança diz que ela pode permitir execução remota de código. A descrição técnica envolve uso de memória depois de liberada, conhecido como use-after-free, no processamento de opções IPv4 durante conexões TCP.
Essa avaliação indica gravidade, mas não comprova que um servidor específico tenha sido invadido. Também não basta desabilitar um recurso de uma aplicação: a análise precisa considerar o kernel do host e a sua exposição de rede.
1. Identifique o sistema e o kernel ativo
Execute os comandos de consulta no host Ubuntu que você administra. Dentro de um container, a identificação da distribuição pode descrever apenas o ambiente do container, enquanto o kernel pertence ao host.
cat /etc/os-release
uname -r
Registre a versão do Ubuntu e a saída completa de uname -r. Depois consulte o pacote da imagem em execução e seu pacote-fonte:
dpkg-query -s "linux-image-$(uname -r)"
O pacote-fonte ajuda a localizar a família correta no rastreador, como linux, linux-aws ou uma variante HWE. Se a imagem não estiver registrada no dpkg, verifique se o kernel é personalizado ou fornecido pelo provedor. Não deduza o estado de segurança apenas pelo nome da distribuição.
2. Cruze versão, família e estado da correção
Abra o rastreador oficial da CVE-2026-98432 e encontre a combinação do pacote-fonte com a sua versão do Ubuntu. Há várias famílias de kernel, e a situação de uma não se transfere automaticamente às demais.
Na consulta de 03/11, a família linux aparece vulnerável, com trabalho em andamento nas versões 5.15.0-203.213 para Ubuntu 22.04, 6.8.0-149.149 para 24.04 e 7.0.0-43.43 para 26.04. Esses números identificam trabalho em preparação no rastreador; não devem ser apresentados como correções estáveis disponíveis.
Antes de atualizar, confirme o aviso de segurança, a versão corrigida e a origem do pacote nos canais estáveis apropriados. Este guia não recomenda habilitar repositórios de teste para antecipar a correção. O estado é dinâmico: consulte novamente a página antes da manutenção.
3. Entenda o alcance da mitigação
A Ubuntu documenta uma medida temporária com nftables para descartar pacotes TCP IPv4 que usam opções de IP. Ela depende de privilégios administrativos e pressupõe que essas opções não sejam necessárias no ambiente. Conexões que dependem delas podem falhar.
Opções de IP são diferentes das opções TCP, como timestamps e window scaling. Segundo a documentação, a regra preserva conexões IPv4 TCP sem opções de IP e não tem IPv6 como alvo. A Ubuntu também ressalta que a medida reduz o risco, mas não impede completamente a exploração.
A persistência documentada pressupõe que /etc/nftables.conf gerencie o firewall, sem UFW ou firewalld. Containers com rede separada exigem avaliação e aplicação no contexto de rede correspondente. Por isso, este Drop aponta para o procedimento oficial em vez de oferecer um comando de firewall para copiar indiscriminadamente.
Antes de qualquer mudança remota, planeje teste, recuperação de acesso e reversão. Registre a configuração existente e valide os serviços afetados. A mitigação temporária não substitui a instalação e ativação do kernel corrigido.
4. Feche o ciclo depois da atualização
Confira novamente o rastreador e o aviso de segurança. Instale o pacote adequado pelos canais estáveis autorizados, programe a reinicialização quando necessária e repita uname -r para confirmar que o kernel corrigido está ativo. Ter um pacote instalado não prova que ele esteja em execução.
Teste os serviços e as conexões esperadas. Reavalie a mitigação com o responsável pela infraestrutura e remova somente a configuração temporária que tiver sido criada para este caso, quando ela deixar de ser necessária.
Se o acesso ao servidor usa Tailscale, aproveite para revisar as permissões do Tailscale SSH. Esse controle de acesso tem outra finalidade e não corrige a vulnerabilidade do kernel.
Checklist para registrar no chamado
- Ubuntu, kernel ativo e pacote-fonte identificados no host.
- Estado da combinação correta conferido no rastreador, com data da consulta.
- Exposição e eventual mitigação avaliadas com os pressupostos do firewall.
- Atualização estável confirmada e manutenção planejada.
- Kernel corrigido ativo, serviços testados e medida temporária reavaliada.
Fontes e atualização
Ubuntu: descrição, mitigação e estado por pacote (fonte primária consultada em 03/11/2026).
Alerta do The Hacker News no X (origem da pauta, fonte secundária). A orientação técnica acima usa a documentação da Ubuntu; alegações sobre outras distribuições e exploração ativa não foram incorporadas.