Bitcoin-Core- und Lightning-Entwickler Matt Corallo machte am 30. Oktober auf eine schwerwiegende Sicherheitslücke im Linux-Kernel aufmerksam. Die als CVE-2026-98432 geführte Schwachstelle betrifft den IPv4-TCP-Handshake-Code des Kernels und hat einen CVSS-Wert von 9,8. Das Frontier RED Team von Anthropic demonstrierte einen Remote-Root-Exploit gegen Systeme mit einem exponierten Multipath-TCP-Listener (MPTCP).

Der Angriffsweg ist für LND relevant, weil Go 1.24 und neuere Versionen MPTCP-Listener standardmäßig aktivieren, wenn der Kernel diese Funktion unterstützt. Neuere LND-Versionen könnten daher Peer-, gRPC- und REST-Verbindungen über MPTCP entgegennehmen. Peter Todd warnte Linux-Nutzer, die LND mit offenen Ports betreiben, ihre Nodes herunterzufahren, bis sie das Problem gepatcht oder anderweitig entschärft hätten.

Lightning Labs veröffentlichte am 30. Oktober lnd v0.21.6-beta sowie den Backport v0.20.7-beta. Beide deaktivieren MPTCP-Listener standardmäßig und blockieren damit den konkreten, beim Exploit demonstrierten Angriffsweg. Das Projekt bezeichnete die Änderung als Gegenmaßnahme und nicht als Behebung: Für die zugrunde liegende Schwachstelle ist ein Kernel-Update erforderlich, und andere Dienste auf demselben Rechner können weiterhin gefährdet sein, sofern MPTCP nicht systemweit deaktiviert oder der Kernel gepatcht wird.

Der Sicherheitsforscher Marcus Hutchins meldete später Scan-Aktivitäten, die mit Versuchen übereinstimmten, exponierte Systeme aufzuspüren. Seine Scans identifizierten etwa 2,1 Millionen Server, die über MPTCP auf Port 443 erreichbar waren. Es waren keine bestätigten Angriffe in freier Wildbahn gemeldet worden, und die Schwachstelle war nicht in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) von CISA aufgenommen worden. Anthropics Demonstration eines Fernzugriffs mit Root-Rechten wurde nicht veröffentlicht.

Canonical hat korrigierte Kernel im optionalen Proposed-Pocket für Ubuntu 22.04, 24.04 und 26.04 bereitgestellt; sie waren jedoch noch nicht im regulären Updates-Kanal angekommen. Red Hat veröffentlichte am 1. November Korrekturen für RHEL 8, 9 und 10; Debian, Amazon Linux und andere Distributionen hatten zuvor Patches herausgegeben. UmbrelOS 2.0.1 enthielt ebenfalls die Kernel-Korrektur für x86-Geräte, während Raspberry-Pi-Geräte eine Maßnahme zum Blockieren des Datenverkehrs erhielten, da ein korrigierter Kernel noch nicht verfügbar war.

Server mit Internetzugang sind am stärksten gefährdet. Heimcomputer hinter typischen NAT-Konfigurationen und Firewalls, die keine öffentlichen TCP-Listener betreiben, sind weniger betroffen. Für Betreiber von Lightning-Knoten unter Linux schließen die LND-Versionen den demonstrierten MPTCP-Angriffsweg; zur Behebung der umfassenderen Schwachstelle muss jedoch weiterhin ein gepatchter Kernel installiert werden.

Quellen: Bitcoin Magazine.