Lo sviluppatore Bitcoin Core e Lightning Matt Corallo ha richiamato l'attenzione su una grave vulnerabilità del kernel Linux il 30 ottobre, criticando la risposta tardiva di Ubuntu a quella che ha definito "la vulnerabilità Linux più critica di sempre." Il bug, registrato come CVE-2026-98432, riguarda il codice di handshake IPv4 TCP del kernel e riporta un punteggio di gravità CVSS di 9,8, collocandolo nella fascia critica del Common Vulnerability Scoring System, la cui scala arriva a un massimo di 10. Il Frontier Red Team di Anthropic ha successivamente dimostrato che può essere trasformato in un exploit remoto con privilegi di root contro sistemi che espongono un listener Multipath TCP (MPTCP), una funzionalità di rete del kernel che consente a una singola connessione TCP di attraversare più percorsi di rete contemporaneamente.

Peter Todd ha fatto eco all'avvertimento lo stesso giorno, esortando chiunque esegua LND su Linux con porte aperte a spegnere i propri nodi Bitcoin Lightning fino a quando il kernel non fosse stato patchato o altrimenti mitigato. Il percorso di exploit dimostrato si basa su un listener MPTCP, una funzionalità che Go 1.24 e versioni successive abilitano per impostazione predefinita, un default a livello di linguaggio che si estende a tutto l'ecosistema Go e non è specifico del software Bitcoin. Poiché LND è scritto in Go, le versioni recenti erano in ascolto con MPTCP sulle porte peer, gRPC e REST ogni volta che il kernel aveva la funzionalità attivata.

Lightning Labs ha risposto lo stesso giorno con rilasci emergency: lnd v0.21.6-beta e un backport, v0.20.7-beta. Entrambi disattivano i listener MPTCP per impostazione predefinita, chiudendo il percorso di exploit dimostrato attraverso LND, secondo le note di rilascio del progetto. La modifica è stata qualificata come una mitigazione piuttosto che una correzione, con il progetto che ha precisato che solo un kernel patchato risolve completamente il problema di fondo. Gli altri servizi sulla stessa macchina restano esposti fino a quando MPTCP non viene disattivato a livello di host o il kernel non viene aggiornato. Olaoluwa Osuntokun e l'account ufficiale di Lightning Labs hanno entrambi raccomandato di installare l'aggiornamento.

Il ricercatore di sicurezza Marcus Hutchins ha in seguito segnalato attività di scansione su scala internet compatibile con attori ostili alla ricerca di sistemi esposti. Le sue scansioni hanno identificato circa 2,1 milioni di server raggiungibili via MPTCP sulla porta 443, la porta standard per il traffico HTTPS. International Cyber Digest ha amplificato la scoperta il 4 novembre, evidenziando sia l'attività di scansione sia i tempi più lenti di patching di Ubuntu.

Canonical ha da allora reso disponibili kernel corretti nel canale opzionale proposed, l'area di staging di Ubuntu in cui i pacchetti vengono testati prima della distribuzione più ampia, per Ubuntu 22.04, 24.04 e 26.04, sebbene non siano ancora arrivati nel canale degli aggiornamenti regolari. Red Hat ha distribuito correzioni per RHEL 8, 9 e 10 il 1° novembre, mentre Debian, Amazon Linux e altre distribuzioni avevano già rilasciato patch in precedenza.

UmbrelOS 2.0.1 ha incluso la correzione del kernel il 1° novembre per i dispositivi x86 e ha applicato una mitigazione di blocco del traffico su Raspberry Pi, dove un kernel corretto non era ancora disponibile. Non sono state segnalate conferme di sfruttamento in circostanze reali, e la vulnerabilità non è stata aggiunta al catalogo delle vulnerabilità sfruttate di CISA, il Known Exploited Vulnerabilities. La dimostrazione dell'exploit remoto con privilegi di root di Anthropic resta inedita.

L'esposizione pratica è massima sui server esposti a internet. I sistemi desktop domestici dietro NAT e firewall tipici, senza listener TCP pubblici, sono molto meno colpiti. Per gli operatori Lightning su Linux, le nuove versioni di LND rimuovono il specifico percorso di listener MPTCP utilizzato dall'exploit pubblico, ma il bug più ampio del kernel persiste fino all'installazione di un kernel patchato. I segnali ancora da monitorare sono la promozione da parte di Ubuntu dei kernel corretti dal canale proposed al canale degli aggiornamenti regolari, la pubblicazione della dimostrazione dell'exploit remoto di Anthropic e l'eventuale aggiunta della vulnerabilità al catalogo delle vulnerabilità sfruttate di CISA.

Questo articolo è apparso per la prima volta su Bitcoin Magazine ed è scritto da Juan Galt.