Ada satu lubang keamanan di kernel Linux yang wajib dicek oleh siapa pun yang memegang server, mulai dari pengelola website desa, admin sekolah, operator aplikasi instansi, sampai pemilik toko online yang menumpang VPS. Kodenya CVE-2026-98432 dan tim CVE kernel Linux menilainya 9,8 dari 10 alias kritis. Yang membuat situasi ini tidak nyaman, per 29 Oktober 2026 Ubuntu dan Red Hat belum merilis kernel perbaikan.

Apa yang sebenarnya bocor

Bug-nya berada di kode TCP IPv4, tepatnya saat kernel menyiapkan koneksi baru. Ketika sebuah koneksi selesai, kernel menyerahkan opsi IP yang tersimpan pada request socket ke child socket tanpa menyalinnya. Pada saat yang sama, CPU lain masih bisa memproses SYN yang dikirim ulang untuk request yang sama dan membaca opsi tersebut. Kalau child socket sudah dihancurkan ketika pembacaan berlangsung, kernel membaca memori yang sudah dibebaskan, jenis bug yang dikenal sebagai use-after-free di ip_options_build().

Bug ini masuk sejak Linux 4.4 dan sudah ditambal di hulu pada 5 Oktober 2026 oleh peneliti Anthropic bernama Xinyang Ge, sementara IPv6 tidak terkena karena kernel menyalin opsi untuk koneksi IPv6. Persoalannya, tambalan hulu baru sampai ke server Anda setelah vendor distribusi merilis paket kernel-nya sendiri.

Mengapa skornya berbeda antar vendor

Tim CVE kernel memberi skor 9,8, sedangkan Red Hat lebih konservatif dengan nilai Moderate 5,9. Alasannya, race condition ini sulit dimenangkan, dampak paling mungkin adalah crash kernel, dan menurut Red Hat belum ada dampak kerahasiaan atau integritas yang terbukti, meski berkas advisory RHEL justru memberi 8,1 atau Important. NVD per 28 Oktober masih menampilkan skor 9,8 milik tim kernel.

Skor tinggi itu masuk akal karena pada 27 Oktober Anthropic mengumumkan bahwa model AI-nya berhasil menulis eksploit yang memakai celah ini untuk menjalankan perintah sebagai root dari jarak jauh tanpa kredensial pada server Linux yang memiliki listener multipath TCP. Dalam uji mereka, membocorkan alamat kernel butuh 48 menit dan eksekusi perintah tercapai 5 menit setelahnya. Race yang gagal hanya menggagalkan satu percobaan koneksi tanpa membuat sistem down, sehingga penyerang bisa terus mencoba.

Status patch per 29 Oktober 2026

• Ubuntu 22.04 dan 24.04 masih rentan karena perbaikan dijadwalkan menyusul, dan status yang sama berlaku untuk rilis 26.04 maupun 26.10.
• RHEL 8, 9, 10, dan OpenShift 4 ditunda perbaikannya atau fix deferred sehingga belum ada paket yang bisa dipasang.
• Debian 13 (trixie) sudah diperbaiki pada 16 Oktober lewat paket linux 6.12.113-1 sesuai advisory DSA-6568-1.
• Debian 12 (bookworm) menerima perbaikan pada 17 dan 22 Oktober lewat pembaruan kernel untuk rilis stabil maupun long-term sesuai advisory DLA-4841-1.
• Amazon Linux 2023 sudah diperbaiki pada 24 Oktober lewat paket kernel6.18 terbaru sesuai ALAS2023-2026-3251.
• RHEL 7 dinyatakan tidak terpengaruh sehingga tidak memerlukan tindakan apa pun.

Cara memeriksa server Anda

1. Periksa versi kernel yang sedang berjalan dengan perintah uname -r, lalu bandingkan dengan versi paket terbaru dari vendor distribusi Anda.
2. Periksa status fitur MPTCP memakai perintah sysctl net.mptcp.enabled; nilai 1 berarti fitur tersebut aktif di kernel, meski aplikasi tetap harus memintanya secara eksplisit lewat IPPROTO_MPTCP.
3. Cari socket MPTCP yang benar-benar terbuka dengan perintah ss -M; bila hasilnya kosong, tidak ada layanan di server itu yang memakai MPTCP.
4. Periksa ketersediaan pembaruan kernel memakai apt list --upgradable yang dipadukan dengan grep linux-image di Ubuntu atau Debian, atau dnf check-update kernel di keluarga RHEL.

Mitigasi sementara yang bisa dijalankan hari ini

1. Matikan MPTCP bila memang tidak dipakai dengan perintah sysctl -w net.mptcp.enabled=0, tetapi pastikan dulu tidak ada layanan yang bergantung pada mptcpize, eBPF mptcpify, atau GODEBUG=multipathtcp=1 karena aplikasi seperti itu akan gagal dengan error ENOPROTOOPT.
2. Agar pengaturan tersebut bertahan setelah reboot, simpan barisnya pada berkas konfigurasi sysctl permanen di server lalu muat ulang konfigurasi supaya langsung berlaku.
3. Periksa juga nilai net.ipv4.tcp_migrate_req karena deskripsi CVE menyebut jalur migrasi request socket bisa memicu masalah serupa, dan biarkan nonaktif bila load balancing Anda tidak membutuhkannya.
4. Kurangi permukaan serangan dengan menempatkan layanan di belakang reverse proxy, membatasi akses lewat firewall ufw atau nftables, serta menutup port yang tidak terpakai, sebab penyerang harus bisa menjangkau layanan TCP yang terekspos untuk memicu race ini.
5. Aktifkan pembaruan keamanan otomatis dan siapkan jendela reboot, karena kerentanan kernel hanya benar-benar selesai dengan patch plus reboot; pantau juga dmesg untuk oops atau trace yang tidak wajar.
6. Hindari memindahkan server produksi ke kernel mainline hanya karena panik, dan tunggu paket resmi vendor agar tidak menukar satu masalah dengan masalah lain.

Mitigasi bukan tambal permanen

Mematikan MPTCP hanyalah menutup satu jalur eksploitasi yang sudah didemonstrasikan, bukan memperbaiki bug-nya. Begitu vendor merilis kernel yang sudah ditambal, segera pasang, reboot, dan hidupkan kembali MPTCP jika layanan Anda memang membutuhkannya. Untuk server pemerintah dan sekolah yang sering dipasang sekali lalu ditinggal, langkah paling murah tetap inventaris versi kernel, jadwal patch bulanan, dan catatan siapa yang berwenang melakukan reboot.

Di easystem, pengecekan versi kernel, status MPTCP, dan pembaruan keamanan adalah bagian dari pemeliharaan server rutin yang kami jalankan untuk klien desa, sekolah, dan instansi. Kalau tim Anda butuh audit cepat terhadap server yang berpotensi terdampak CVE ini, silakan hubungi kami.

Sumber: The Hacker News, Linux Kernel TCP Flaw With 9.8 CVSS Score; Ubuntu Security, CVE-2026-98432; Red Hat CVE-2026-98432; patch kernel upstream; Dokumentasi MPTCP kernel Linux.