Bitcoin Core- en Lightning Network-ontwikkelaar Matt Corallo wees op een ernstige kwetsbaarheid in de Linux-kernel op 30 oktober en bekritiseerde de trage reactie van Ubuntu op wat hij noemde "the most critical Linux vuln ever." De kwetsbaarheid, geregistreerd als CVE-2026-98432, betreft de IPv4 TCP handshake-code van de kernel en heeft een CVSS ernstscore van 9,8, waarmee deze in de kritieke band van het Common Vulnerability Scoring System valt, waarvan de schaal maximaal 10 loopt. Anthropic's Frontier Red Team toonde vervolgens aan dat deze kan worden ontwikkeld tot een remote root exploit tegen systemen die een Multipath TCP (MPTCP)-listener aanbieden—een netwerkfunctie van de kernel die een enkele TCP-verbinding over meerdere netwerkroutes tegelijk laat lopen.

Peter Todd herhaalde die dag de waarschuwing en drong erop aan dat iedereen die LND op Linux draait met open poorten zijn Bitcoin Lightning-nodes zou uitschakelen totdat de kernel was gepatcht of anderszins gemitigeerd. De aangetoonde exploitroute is afhankelijk van een MPTCP-listener—iets dat Go 1.24 en later standaard inschakelen, een standaardinstelling op taalniveau die geldt voor het hele Go-ecosysteem en niet specifiek is voor Bitcoin-software. Omdat LND in Go is geschreven, luisterden recente versies met MPTCP op hun peer-, gRPC- en REST-poorten telkens wanneer de kernel deze functie had ingeschakeld.

Lightning Labs reageerde dezelfde dag met noodreleases: lnd v0.21.6-beta en een backport, v0.20.7-beta. Beide schakelen MPTCP-listeners standaard uit, waarmee de aangetoonde exploitroute via LND wordt gesloten, aldus de release notes van het project. De wijziging werd gekenschetst als een mitigatie rather dan een fix, waarbij het project opmerkte dat alleen een gepatchte kernel het onderliggende probleem volledig oplost. Andere diensten op dezelfde machine blijven kwetsbaar totdat MPTCP host-breed is uitgeschakeld of de kernel is bijgewerkt. Olaoluwa Osuntokun en het officiële Lightning Labs-account adviseerden beide om de update te installeren.

Securityonderzoeker Marcus Hutchins meldde later internetbreed scanactiviteit die past bij dreigingsactoren die op zoek zijn naar kwetsbare systemen. Zijn scans identificeerden circa 2,1 miljoen servers die via MPTCP bereikbaar zijn op poort 443, de standaardpoort voor HTTPS-verkeer. International Cyber Digest versterkte de bevinding op 4 november en wees zowel op de scanactiviteit als op het langzamere patchtempo van Ubuntu.

Canonical heeft inmiddels gerepareerde kernels beschikbaar gesteld in de opt-in proposed pocket—het testgebied van Ubuntu waar pakketten worden getest voordat ze breder worden uitgerold—for Ubuntu 22.04, 24.04 en 26.04, maar deze hebben het reguliere updates-kanaal nog niet bereikt. Red Hat brachte fixes uit voor RHEL 8, 9 en 10 op 1 november, terwijl Debian, Amazon Linux en andere distributies eerder al patches hadden uitgebracht.

UmbrelOS 2.0.1 bevatte op 1 november de kernelfix voor x86-apparaten en paste een verkeersblokkerende mitigatie toe op Raspberry Pi, waar nog geen gerepareerde kernel beschikbaar was. Er is geen bevestigd misbruik in het wild gemeld en de kwetsbaarheid is niet toegevoegd aan de Known Exploited Vulnerabilities-catalogus van CISA. Anthropic's remote root-demonstratie is nog niet gepubliceerd.

De praktische blootstelling is het grootst op servers die vanaf het internet bereikbaar zijn. Thuis-desktopsystemen achter gebruikelijke NAT en firewalls, zonder publieke TCP-listeners, zijn aanzienlijk minder getroffen. Voor Lightning-operators op Linux verwijderen de nieuwe LND-releases de specifieke MPTCP-listenerroute die de publieke exploit gebruikte, maar de bredere kernelbug blijft bestaan totdat een gepatchte kernel is geïnstalleerd. De belangrijkste ontwikkelingen om in de gaten te houden zijn de promotie door Ubuntu van de gerepareerde kernels van de proposed pocket naar het reguliere updates-kanaal, de publicatie van Anthropic's remote root-demonstratie en of de kwetsbaarheid wordt toegevoegd aan de Known Exploited Vulnerabilities-catalogus van CISA.

Dit artikel verscheen eerst op Bitcoin Magazine en is geschreven door Juan Galt.