Claude findet elf Jahre alte Remote-Lücke im Linux-TCP/IP-Stack

Worum es geht

Im Netzwerk-Code des Linux-Kerns steckt eine kritische Sicherheitslücke, die nahezu alle Linux-Distributionen betrifft, darunter Debian, Red Hat, Suse und Ubuntu. Entdeckt hat sie Anthropics KI Claude bei systematischen Tests wichtiger Open-Source-Projekte. Laut heise ermöglicht der Fehler Angreifern, übers Netz eigenen Code einzuschleusen und auszuführen (Remote Code Execution). Der Schweregrad liegt bei CVSS 9,8 und damit auf der höchsten Gefahrenstufe. Ein Fix des Kernel-Teams existiert bereits, erste Distributoren haben Updates veröffentlicht.

Was technisch dahintersteckt

Es handelt sich um eine Race-Condition. Dabei hängt das Ergebnis vom zeitlichen Zusammenspiel mehrerer Abläufe ab, hier von zwei Prozessorkernen. Ein Angreifer kann den Kernel des Opfers dazu bringen, dass eine CPU Speicher verwendet, den kurz zuvor eine andere CPU bereits freigegeben hat (ein sogenannter Use-after-free). Das führt zu unvorhergesehenen Speicherzugriffen. Der Angreifer kann sie so koordinieren, dass von ihm eingeschleuster Code läuft.

Claude konnte das laut heise nicht nur vermuten, sondern mit einem konkreten Exploit beweisen. Anthropic meldete den Fehler anschließend dem Linux-Kernel-Team.

Elf Jahre unentdeckt

Der fehlerhafte Code wurde am 2. Oktober 2015 in Kernel-Version 4.4 eingecheckt. Mehrere Experten hatten ihn geprüft und freigegeben. Erst die systematische Suche einer KI förderte den Fehler zutage. Am 15. Oktober bestätigte Kernel-Maintainer Greg Kroah-Hartman, dass CVE-2026-98432 in den Kernel-Versionen 6.12.113, 6.18.56, 7.2.10 und 7.3-rc7 behoben ist.

Betroffen sind alle IPv4-Implementierungen seit Kernel 4.4. Die IPv6-Umsetzung ist nicht betroffen.

Was Admins jetzt tun sollten

Die Distributoren arbeiten laut heise mit Hochdruck an aktualisierten Kerneln für alle betroffenen und noch unterstützten Produkte. Den Stand zeigen die Advisories von Debian, Red Hat, Suse und Ubuntu. Administratoren sollten die korrigierten Kernel möglichst zügig einspielen, sobald sie verfügbar sind.

Wie gefährlich ist es wirklich?

Dazu ist bislang wenig bekannt. Der einzige bekannte Exploit stammt von Anthropic und ist nicht öffentlich. Er bezieht sich auf Multipath-TCP (MPTCP). Das ist eine TCP-Option, die ein Server-Dienst ausdrücklich anfordern muss. Laut heise setzen nur Go-Anwendungen sie standardmäßig. Unklar ist, ob für einen Angriff zwingend ein MPTCP-Dienst auf dem Zielsystem laufen muss. Über konkrete Angriffe in der Praxis weiß man bislang nichts.

Einordnung

Der Autor von heise sieht in dem Fall ein besonders eindrucksvolles Beispiel dafür, wie KI-Systeme Sicherheitslücken in über Jahrzehnte gewachsenem Code aufdecken. Der Netzwerk-Code des Linux-Kerns gilt als besonders sorgfältig gepflegt, andere Software sei meist schlechter aufgestellt. Bisher habe geschützt, dass solche Lücken schwer zu finden und noch schwerer auszunutzen waren. Wenn LLMs (große Sprachmodelle) diese Suche weitgehend automatisieren, komme eine große Welle von Schwachstellen. Der Autor spricht von angehäuften „Security-Schulden“, die nun mit Zins und Zinseszins fällig würden. Das ist eine Einschätzung, kein Messwert. Offen bleibt, wie leicht sich die Lücke ohne MPTCP ausnutzen lässt und ob Angreifer sie bereits kannten.