Lo sviluppatore di Bitcoin Core e Lightning Matt Corallo ha segnalato il 30 ottobre una grave vulnerabilità del kernel Linux. Identificata come CVE-2026-98432, la vulnerabilità riguarda il codice di handshake TCP IPv4 del kernel e ha un punteggio CVSS di 9,8. L’Anthropic Frontier RED Team ha dimostrato un exploit per ottenere l’accesso root da remoto sui sistemi con un listener Multipath TCP (MPTCP) esposto.

Il percorso di exploit interessa LND perché Go 1.24 e versioni successive abilitano per impostazione predefinita i listener MPTCP quando il kernel supporta questa funzionalità. Le versioni recenti di LND potevano quindi ricevere connessioni dei peer, gRPC e REST tramite MPTCP. Peter Todd ha avvertito gli utenti Linux che eseguono LND con porte aperte di spegnere i propri nodi finché non avessero applicato una patch o adottato un’altra misura per mitigare il problema.

Il 30 ottobre Lightning Labs ha rilasciato lnd v0.21.6-beta e la versione retroportata v0.20.7-beta. Entrambe disabilitano per impostazione predefinita i listener MPTCP, bloccando il percorso specifico mostrato nell’exploit. Il progetto ha descritto la modifica come una mitigazione, non come una correzione: la vulnerabilità alla base richiede un aggiornamento del kernel e altri servizi sullo stesso computer potrebbero restare esposti, a meno che MPTCP non venga disabilitato a livello di sistema o il kernel non venga aggiornato.

In seguito, il ricercatore di sicurezza Marcus Hutchins ha segnalato attività di scansione compatibili con tentativi di individuare sistemi esposti. Le sue scansioni hanno identificato circa 2,1 milioni di server raggiungibili tramite MPTCP sulla porta 443. Non erano stati segnalati casi confermati di sfruttamento in natura e la vulnerabilità non era stata inserita nel catalogo Known Exploited Vulnerabilities della CISA. La dimostrazione di accesso root da remoto di Anthropic non è ancora stata pubblicata.

Canonical ha reso disponibili kernel corretti nel pocket proposto, a partecipazione facoltativa, per Ubuntu 22.04, 24.04 e 26.04, ma non erano ancora arrivati nel canale degli aggiornamenti regolari. Red Hat ha distribuito le correzioni per RHEL 8, 9 e 10 il 1° novembre; Debian, Amazon Linux e altre distribuzioni avevano rilasciato le patch in precedenza. Anche UmbrelOS 2.0.1 includeva la correzione del kernel per i dispositivi x86, mentre per i dispositivi Raspberry Pi è stata adottata una mitigazione che blocca il traffico, poiché un kernel corretto non era ancora disponibile.

I server accessibili da Internet sono quelli maggiormente esposti. I computer domestici dietro i normali NAT e firewall, privi di listener TCP pubblici, sono meno interessati. Per chi gestisce nodi Lightning su Linux, le release di LND chiudono il percorso MPTCP dimostrato, ma per correggere la vulnerabilità più ampia è comunque necessario installare un kernel aggiornato.

Fonti: Bitcoin Magazine.