O desenvolvedor do Bitcoin Core e do Lightning, Matt Corallo, alertou sobre uma grave vulnerabilidade do kernel Linux em 30 de outubro. Identificada como CVE-2026-98432, a falha afeta o código de handshake TCP IPv4 do kernel e tem uma pontuação CVSS de 9,8. A Frontier RED Team da Anthropic demonstrou uma exploração de acesso root remoto contra sistemas com um listener Multipath TCP (MPTCP) exposto.

A via de exploração é relevante para o LND porque o Go 1.24 e versões posteriores habilitam listeners MPTCP por padrão quando o kernel oferece suporte ao recurso. Portanto, versões recentes do LND poderiam escutar conexões de peers, gRPC e REST por MPTCP. Peter Todd alertou os usuários de Linux que executam o LND com portas abertas para desligarem seus nós até corrigirem ou mitigarem o problema de outra forma.

A Lightning Labs lançou o lnd v0.21.6-beta e o backport v0.20.7-beta em 30 de outubro. Ambos desabilitam listeners MPTCP por padrão, bloqueando a rota específica demonstrada na exploração. O projeto descreveu a alteração como uma mitigação, não como uma correção: a vulnerabilidade subjacente exige uma atualização do kernel, e outros serviços na mesma máquina podem continuar expostos, a menos que o MPTCP seja desabilitado em todo o sistema ou que o kernel seja corrigido.

Mais tarde, o pesquisador de segurança Marcus Hutchins relatou atividades de varredura compatíveis com tentativas de localizar sistemas expostos. Suas varreduras identificaram cerca de 2,1 milhões de servidores acessíveis por MPTCP na porta 443. Não havia relatos de exploração confirmada em ambiente real, e a vulnerabilidade não havia sido incluída no catálogo de Vulnerabilidades Conhecidamente Exploradas da CISA. A demonstração de acesso root remoto da Anthropic continua não publicada.

A Canonical disponibilizou kernels corrigidos no repositório proposto opcional para Ubuntu 22.04, 24.04 e 26.04, mas eles ainda não haviam chegado ao canal regular de atualizações. A Red Hat disponibilizou correções para RHEL 8, 9 e 10 em 1º de novembro; Debian, Amazon Linux e outras distribuições já haviam lançado patches. O UmbrelOS 2.0.1 também incluiu a correção do kernel para dispositivos x86, enquanto os dispositivos Raspberry Pi receberam uma mitigação que bloqueia o tráfego, pois um kernel corrigido ainda não estava disponível.

Servidores expostos à internet enfrentam o maior risco. Computadores domésticos atrás de NAT e firewalls comuns, sem listeners TCP públicos, são menos afetados. Para operadores de Lightning em Linux, as versões do LND fecham a rota MPTCP demonstrada, mas a instalação de um kernel corrigido continua sendo necessária para tratar a falha mais ampla.

Fontes: Bitcoin Magazine.