Der Bitcoin-Core- und Lightning-Entwickler Matt Corallo machte auf eine schwere Linux-Kernel-Schwachstelle aufmerksam und kritisierte am 30. Oktober die verzögerte Reaktion von Ubuntu auf das, was er „die kritischste Linux-Schwachstelle aller Zeiten" nannte. Der Fehler, geführt als CVE-2026-98432, betrifft den IPv4-TCP-Handshake-Code des Kernels und weist einen CVSS-Schweregrad von 9,8 auf, womit er im kritischen Bereich des Common Vulnerability Scoring System liegt, dessen Skala bei 10 endet. Anthropic's Frontier Red Team demonstrierte anschließend, dass er sich zu einem Remote-Root-Exploit gegen Systeme mit einem Multipath-TCP-(MPTCP)-Listener entwickeln lässt – einer Kernel-Netzwerkfunktion, die es einer einzelnen TCP-Verbindung ermöglicht, gleichzeitig über mehrere Netzwerkpfade zu laufen.

Peter Todd wiederholte am selben Tag die Warnung und forderte alle auf, die LND auf Linux mit offenen Ports betreiben, ihre Bitcoin-Lightning-Nodes herunterzufahren, bis der Kernel gepatcht oder anderweitig gemildert ist. Der demonstrierte Exploit-Pfad basiert auf einem MPTCP-Listener – etwas, das Go 1.24 und neuer standardmäßig aktivieren, ein Standard auf Sprachebene, der das gesamte Go-Ökosystem betrifft und nicht spezifisch für Bitcoin-Software ist. Da LND in Go geschrieben ist, hörten neuere Versionen mit MPTCP auf ihren Peer-, gRPC- und REST-Ports, solange der Kernel die Funktion aktiviert hatte.

Lightning Labs reagierte noch am selben Tag mit Notfall-Releases: lnd v0.21.6-beta und ein Backport, v0.20.7-beta. Beide deaktivieren MPTCP-Listener standardmäßig und schließen damit den demonstrierten Exploit-Pfad über LND, wie aus den Release-Hinweisen des Projekts hervorgeht. Die Änderung wurde als Minderung而非Behebung charakterisiert, mit dem Hinweis, dass nur ein gepatchter Kernel das zugrunde liegende Problem vollständig löst. Andere Dienste auf demselben Rechner bleiben gefährdet, bis MPTCP systemweit deaktiviert oder der Kernel aktualisiert wird. Olaoluwa Osuntokun und das offizielle Lightning-Labs-Konto empfahlen beide die Installation des Updates.

Der Sicherheitsforscher Marcus Hutchins meldete später internetweite Scan-Aktivitäten, die mit Angreifern übereinstimmen, die nach exponierten Systemen suchen. Seine Scans identifizierten rund 2,1 Millionen Server, die über MPTCP auf Port 443 erreichbar sind, dem Standardport für HTTPS-Traffic. International Cyber Digest verstärkte die Meldung am 4. November und hob sowohl die Scan-Aktivitäten als auch den langsameren Patch-Zeitplan von Ubuntu hervor.

Canonical hat seitdem gepatchte Kernel im opt-in proposed pocket – dem Staging-Bereich von Ubuntu, in dem Pakete vor der breiteren Veröffentlichung getestet werden – für Ubuntu 22.04, 24.04 und 26.04 bereitgestellt, sie haben den regulären Updates-Kanal jedoch noch nicht erreicht. Red Hat lieferte am 1. November Fixes für RHEL 8, 9 und 10, während Debian, Amazon Linux und andere Distributionen bereits früher Patches veröffentlicht hatten.

UmbrelOS 2.0.1 enthielt den Kernel-Fix am 1. November für x86-Geräte und wandte auf dem Raspberry Pi, wo ein gepatchter Kernel noch nicht verfügbar war, eine trafikblockierende Minderung an. Eine bestätigte Ausnutzung in freier Wildbahn wurde nicht gemeldet, und die Schwachstelle wurde nicht in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA aufgenommen. Anthropic's Demonstration des Remote-Root-Exploits ist bislang unveröffentlicht.

Die praktische Gefährdung ist auf internetexponierten Servern am höchsten. Heim-Desktop-Systeme hinter üblichem NAT und Firewalls ohne öffentliche TCP-Listener sind weit weniger betroffen. Für Lightning-Betreiber auf Linux entfernen die neuen LND-Releases den spezifischen MPTCP-Listener-Pfad, den der öffentliche Exploit nutzte, doch der breitere Kernel-Fehler besteht fort, bis ein gepatchter Kernel installiert ist. Die verbleibenden Indikatoren, die zu beobachten sind, sind die Überführung der gepatchten Kernel von Ubuntu aus dem proposed pocket in den regulären Updates-Kanal, die Veröffentlichung von Anthropic's Remote-Root-Demonstration sowie die Frage, ob die Schwachstelle in den CISA-Katalog der bekannten ausgenutzten Schwachstellen aufgenommen wird.

Dieser Artikel erschien zuerst auf Bitcoin Magazine und wurde von Juan Galt verfasst.