Programista Bitcoin Core i Lightning Network, Matt Corallo, zwrócił uwagę na poważną lukę w jądrze Linuksa 30 października, krytykując opóźnioną reakcję Ubuntu na błąd, który nazwał „najbardziej krytyczną luką Linuksa w historii”. Błąd, zarejestrowany jako CVE-2026-98432, dotyczy kodu uzgadniania TCP IPv4 w jądrze i otrzymał ocenę 9,8 w skali CVSS, co plasuje go w przedziale krytycznym Common Vulnerability Scoring System, którego maksymalna wartość wynosi 10. Frontier Red Team firmy Anthropic wykazał następnie, że lukę można przekształcić w zdalny exploit uzyskujący uprawnienia roota wobec systemów z nasłuchem Multipath TCP (MPTCP) — funkcją sieciową jądra umożliwiającą prowadzenie jednego połączenia TCP jednocześnie przez wiele ścieżek sieciowych.

Peter Todd tego samego dnia przywołał ostrzeżenie, wzywając wszystkich uruchamiających LND na Linuksie z otwartymi portami do wyłączenia węzłów Bitcoin Lightning do czasu załatania jądra lub zastosowania innego środka zaradczego. Zadana ścieżka exploita opiera się na nasłuchu MPTCP — funkcji domyślnie włączanej od wersji Go 1.24, przy czym jest to domyślne ustawienie na poziomie języka, obejmujące cały ekosystem Go, a nie ograniczone do oprogramowania Bitcoin. Ponieważ LND jest napisany w Go, najnowsze wersje nasłuchiwały z użyciem MPTCP na portach peer, gRPC i REST, o ile jądro miało włączoną tę funkcję.

Lightning Labs odpowiedał tego samego dnia awaryjnymi wydaniami: lnd v0.21.6-beta oraz backportem v0.20.7-beta. Obie wersje domyślnie wyłączają nasłuchy MPTCP, zamykając zadaną ścieżkę exploita przez LND, zgodnie z informacjami o wydaniu projektu. Zmiana została określona jako środek zaradczy, a nie poprawka — projekt zaznaczył, że tylko załatane jądro w pełni rozwiązuje problem u źródła. Inne usługi na tej samej maszynie pozostają narażone do czasu wyłączenia MPTCP na poziomie całego hosta lub aktualizacji jądra. Olaoluwa Osuntokun oraz oficjalne konto Lightning Labs zaleciły instalację aktualizacji.

Badacz bezpieczeństwa Marcus Hutchins odnotował później aktywność skanowania na skalę całego internetu, zgodną z poszukiwaniem podatnych systemów przez aktorów zagrożeń. Jego skany zidentyfikowały około 2,1 miliona serwerów osiągalnych przez MPTCP na porcie 443, standardowym porcie ruchu HTTPS. International Cyber Digest upowszechnił to odkrycie 4 listopada, podkreślając zarówno aktywność skanowania, jak i wolniejsze tempo poprawek po stronie Ubuntu.

Canonical udostępnił od tego czasu załatane jądra w opcjonalnym repozytorium proposed — obszarze przygotowawczym Ubuntu, w którym pakiety przechodzą testy przed szerszą dystrybucją — dla Ubuntu 22.04, 24.04 i 26.04, choć nie trafiły jeszcze do zwykłego kanału aktualizacji. Red Hat wydał poprawki dla RHEL 8, 9 i 10 już 1 listopada, a Debian, Amazon Linux i inne dystrybucje opublikowały poprawki wcześniej.

UmbrelOS 2.0.1 zawarł poprawkę jądra 1 listopada dla urządzeń x86 i zastosował środek blokujący ruch na Raspberry Pi, gdzie załatane jądro nie było jeszcze dostępne. Nie odnotowano potwierdzonego wykorzystania luki w praktyce, a luka nie została dodana do katalogu Known Exploited Vulnerabilities agencji CISA. Zdalna demonstracja uzyskania uprawnień roota przygotowana przez firmę Anthropic pozostaje nieopublikowana.

Praktyczne narażenie jest największe na serwerach z dostępem z internetu. Domowe komputery stacjonarne za typowym NAT i zaporami sieciowymi, bez publicznych nasłuchów TCP, są znacznie mniej narażone. Dla operatorów Lightning na Linuksie nowe wydania LND usuwają konkretną ścieżkę nasłuchu MPTCP wykorzystaną przez publiczny exploit, ale szerszy błąd jądra nadal występuje do czasu instalacji załatanej wersji jądra. Pozostałe kwestie do obserwacji to wprowadzenie załatanych jąder przez Ubuntu z repozytorium proposed do zwykłego kanału aktualizacji, publikacja zdalnej demonstracji firmy Anthropic oraz ewentualne dodanie luki do katalogu Known Exploited Vulnerabilities agencji CISA.

Ten artykuł po raz pierwszy ukazał się w Bitcoin Magazine, a jego autorem jest Juan Galt.