Claude baut Root-Exploit für Linux-Kernel-Lücke – Ubuntu und RHEL noch ungepatcht

Worum es geht

Am 27. Oktober 2026 hat die Frontier Red Team von Anthropic einen Forschungsbericht veröffentlicht. Darin zeigt sie, dass ein noch nicht veröffentlichtes internes Claude-Modell funktionierende Angriffe auf verbreitete Software gebaut hat. Einer davon betrifft den Linux-Kernel: Die Schwachstelle CVE-2026-98432 erlaubt es, verwundbare Server aus der Ferne zu übernehmen. Der Angreifer braucht dafür weder Passwort noch eine Handlung des Nutzers (sogenannter Zero-Click) und erhält am Ende Root-Rechte, also volle Kontrolle über das System.

Der Fehler selbst ist in den Linux-Hauptzweigen bereits seit Anfang Oktober behoben. Bei einigen großen Distributionen fehlen die Updates aber noch.

Wie die Lücke funktioniert

Das Problem liegt in der Verarbeitung von TCP-Verbindungen über IPv4. Laut der Kernel-CVE-Meldung (zitiert von CSO Online und ShiftDelete) gibt der Kernel beim Aufbau einer Verbindung die IP-Optionen einer wartenden Verbindungsanfrage an den neuen Socket weiter, ohne sie zu kopieren. Ein Socket ist grob gesagt der Endpunkt einer Netzwerkverbindung.

Bearbeitet gleichzeitig ein anderer Prozessorkern eine erneut gesendete Anfrage und baut daraus die SYNACK-Antwort, also die Bestätigung im TCP-Handshake, kann er auf Speicher zugreifen, der schon freigegeben wurde. Das nennt man Use-after-free. Weil der Fehler vom zufälligen Timing zweier Kerne abhängt, ist er eine Race Condition (ein „Wettlauf“ zwischen zwei Abläufen).

Die Korrektur verschiebt die Freigabe der betroffenen Objekte, bis eine RCU-Schonfrist (Read-Copy-Update) vorbei ist. So haben parallele Leser Zeit, fertig zu werden.

Der Angriff von Claude

Nach anfänglichen Vorgaben der Forscher schrieb Claude einen Exploit, der Linux-Server mit einem Multipath-TCP-Listener (MPTCP) angreift. MPTCP erlaubt es, mehrere Netzwerkschnittstellen in einer Verbindung zu bündeln, etwa für mehr Bandbreite oder Ausfallsicherheit. Es ist optional: Anwendungen müssen es anfordern, wobei etwa eBPF es auch erzwingen kann.

Der Exploit läuft in zwei Stufen:

• KASLR umgehen: KASLR ist ein Schutz, der die Speicheradressen des Kernels zufällig anordnet. Der Angreifer gewinnt das Race so, dass der Kernel zusätzliche Bytes zurückschickt und einen Kernel-Zeiger verrät. Das dauerte im Test etwa 48 Minuten.
• Kontrollfluss kapern: Derselbe Fehler überschreibt einen Callback-Zeiger, sodass ein vom Angreifer gewählter Shell-Befehl als Root läuft. Das dauerte etwa fünf weitere Minuten.

Ein verlorenes Race lässt nur den Handshake scheitern, der Server stürzt nicht ab. Der Angreifer kann es deshalb beliebig oft versuchen. Anthropic hat den Exploit-Code nicht veröffentlicht, auch keine genauen Kernel-Versionsangaben.

Betroffene Versionen und Patch-Stand

Die Lücke reicht laut CSO Online und ShiftDelete bis Linux 4.4 zurück und betrifft acht Kernel-Zweige. Gefixt sind die Upstream-Versionen 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 und 7.3-rc7.

Bei der Schwere gibt es Unterschiede. Das CVE trägt in mehreren Meldungen einen CVSS-Wert von 9,8 (kritisch). Red Hat stuft es laut ShiftDelete als „Important“ mit vorläufig 8,1 ein, weil das Gewinnen des Races hohe Angriffskomplexität bedeutet. Das heute.at-ähnliche Hauptquellen-Dossier nennt dagegen, Red Hat habe es in einem eigenen Hinweis als kritisch eingestuft und empfehle vorübergehend, bestimmte Netzwerkpakete per Firewall zu filtern. ShiftDelete schreibt hingegen, Red Hat sehe keine geeignete Mitigation. Diese Angaben widersprechen sich und sind offen.

Teil einer größeren Studie

Laut CSO Online und Pragativadi stellte Anthropic fünf Angriffsketten vor: Chrome (Ein-Klick-Codeausführung, Google vergab 62 CVEs und patchte in Chrome 156), Safari (Umgehung der Same-Origin-Policy), Android (Sperrbildschirm-Umgehung beim Pixel 9), Windows (Remote-Absturz über QUIC, CVE-2026-33096) und eben Linux. Anthropic betont, alle Funde seien per koordinierter Offenlegung an die Hersteller gemeldet worden, ShiftDelete nennt eine 90-Tage-Frist.

Was Admins tun sollten

• Laufende Kernel-Version prüfen.
• Gepatchten Distributions-Kernel sofort installieren, sobald verfügbar, und neu starten.
• Prüfen, ob Dienste MPTCP-Listener im Internet anbieten.
• Nicht auf das Abschalten einer einzelnen Funktion verlassen: Der Fehler steckt im allgemeinen IPv4-TCP-Code. Ob Systeme ohne MPTCP vergleichbar angreifbar sind, ist laut Hauptquelle ungeklärt.

Einordnung

Der Fall zeigt, dass KI-Modelle nicht mehr nur Bugs finden, sondern aus ihnen komplette Angriffe bauen. Das hilft Verteidigern beim Prüfen von Code, senkt aber auch die Einstiegshürde für Angreifer, wie Analysten laut Pragativadi warnen. Zu beachten: Alle Angaben zum Exploit stammen von Anthropic selbst und sind nicht unabhängig überprüft. Das Modell ist unveröffentlicht, der Code geheim. Die praktische Gefahr dürfte wegen der hohen Komplexität und der langen Dauer begrenzt sein, bisher gibt es keine bekannten Angriffe. Dennoch sollten Betreiber exponierter Server zügig patchen.