Anza wydała alert „Action Required” 2 listopada, wzywając walidatory Solany mainnet-beta do złagodzenia krytycznej luki w jądrze Linux, której Ubuntu jeszcze nie załatało.

Deweloper oprogramowania Solany zacytował wątek Tima Garcii, kierownika ds. relacji z walidatorami w Solana Foundation, kierujący operatorów działających na Ubuntu do filtrowania ruchu do czasu pojawienia się poprawki.

Walidatory to maszyny przetwarzające transakcje Solany i utrzymujące konsensus sieci, więc niezałatana luka w ich systemie operacyjnym dotyka infrastruktury podstawowej, a nie narzędzi pomocniczych.

Garcia chce wyłączenia Multipath TCP i migracji gniazd

W wątku Garcii wymienia on trzy zmiany do wykonania do czasu udostępnienia pakietu Ubuntu. Operatorzy powinni użyć nftables, aby odrzucać przychodzące pakiety TCP z opcjami IPv4.

Zalecił również wyłączenie Multipath TCP przez net.mptcp.enabled=0, natomiast net.ipv4.tcp_migrate_req=0 wyłącza migrację gniazd żądań TCP.

Red Hat ostrzegł, że filtrowanie zmniejsza ekspozycję, ale nie całkowicie zapobiega wykorzystaniu luki.

Powiadomienie dotyczy walidatorów działających na Ubuntu. Wymagania Anzy określają, że klient jest budowany i uruchamiany na Ubuntu 24.04 i wymaga publicznego adresu IPv4 — rodziny adresów, której ścieżka przychodzącego handshake TCP zawiera lukę.

Według Garcii defekt jądra, CVE-2026-98432, został załatany upstream, ale dla użytkowników Ubuntu aktualizacja nie została jeszcze opublikowana. Ponieważ defekt znajduje się w jądrze, żadne wydanie klienta walidatora nie może go zamknąć na hostach Ubuntu; poprawka musi pochodzić z dystrybucji.

CVE-2026-98432 sprawia, że jądro odczytuje zwolnioną pamięć

Tracker Canonicala, który po raz pierwszy opublikował CVE 15 października i ostatnio aktualizował 30 października, oznacza główny pakiet jądra na 26.10, 26.04 LTS, 24.04 LTS i 22.04 LTS jako „Vulnerable work in progress”. Starsze wersje 20.04 i 18.04 są po prostu wymienione jako podatne. Błąd ma wynik CVSS 9,8 — mieszczący się w krytycznym zakresie skali — oraz priorytet High w Ubuntu.

CVE-2026-98432 to luka typu use-after-free w kodzie IPv4 jądra: nawet po zwolnieniu pamięci jądro nadal może odczytywać pamięć, która była częścią połączenia sieciowego. Opis Canonicala wiąże ją z handshake TCP dla połączeń przychodzących — gniazdo podrzędne jest zwalniane, gdy retransmitowany SYN dla tego samego gniazda żądania jest przetwarzany przez drugi CPU, w wyniku czego ip_options_build() odczytuje zwolnioną pamięć.

Podobny błąd występuje, gdy migracja gniazd żądań TCP jest włączona — dlatego Garcia wyłącza ją na swojej liście. IPv6 unika pierwszego problemu, ponieważ jego kod handshake duplikuje opcje.

1 listopada Red Hat opublikował biuletyny z poprawkami jądra dla RHEL 8, 9 i 10, a Debian ma poprawione pakiety dla bookworm i trixie. Operatorzy na Ubuntu pozostają w międzyczasie przy środkach zaradczych Garcii, dopóki pakiet jądra Canonicala nie dotrze i nie przeniesie CVE ze statusu „Vulnerable work in progress”.

Luki w Linuksie już wcześniej uderzały w infrastrukturę krypto

Infrastruktura kryptowalutowa została już w tym roku dotknięta lukami w Linuksie. W maju 2026 roku Cryptopolitan poinformował o dwóch błędach jądra, Copy Fail i Dirty Frag, które wypowiedziały giełdy, walidatory i systemy powiernicze na stan pogotowia. Skompromitowany serwer Linux może ujawnić poświadczenia podpisu i dostęp administratora na maszynie.

W styczniu operatorów Solany wzywano do zastosowania krytycznej poprawki walidatora, v3.0.14. Tym razem błąd znajduje się w jądrze, od którego zależy klient — poniżej samego oprogramowania klienta, dlatego alert Anzy kieruje operatorów do środków zaradczych na poziomie systemu operacyjnego, a nie do aktualizacji oprogramowania.