Разработчик Bitcoin Core и Lightning Мэтт Коралло обратил внимание на серьёзную уязвимость ядра Linux 30 октября, раскритиковав затянувшийся ответ Ubuntu на то, что он назвал «самой критической уязвимостью Linux за всю историю». Уязвимость, отслеживаемая как CVE-2026-98432, затрагивает код IPv4 TCP-рукопожатия ядра и имеет оценку тяжести 9.8 по CVSS, что относит её к критическому диапазону Common Vulnerability Scoring System, шкала которой ограничена значением 10. Frontier Red Team компании Anthropic впоследствии продемонстрировала, что её можно превратить в эксплойт удалённого получения root-доступа против систем с открытым слушателем Multipath TCP (MPTCP) — функции сетевого стека ядра, позволяющей одному TCP-соединению работать одновременно по нескольким сетевым путям.

Питер Тодд в тот же день поддержал предупреждение, призывая всех, кто запускает LND на Linux с открытыми портами, отключить свои узлы Bitcoin Lightning до установки исправленного ядра или применения иных мер защиты. Продемонстрированный путь атаки опирается на слушатель MPTCP — функцию, которую Go 1.24 и более поздние версии включают по умолчанию; этот языковой стандарт распространяется на всю экосистему Go, а не ограничивается Bitcoin-софтом. Поскольку LND написана на Go, недавние версии прослушивали свои порты peer, gRPC и REST с использованием MPTCP, если эта функция была включена в ядре.

Lightning Labs отреагировала в тот же день экстренными релизами: lnd v0.21.6-beta и бэкпорт v0.20.7-beta. Обе версии по умолчанию отключают слушатели MPTCP, закрывая продемонстрированный путь атаки через LND, согласно замечаниям к релизу проекта. Это изменение охарактеризовали как меру защиты, а не исправление, отметив, что лишь обновлённое ядро полностью устраняет основную проблему. Другие сервисы на той же машине остаются уязвимыми, пока MPTCP не будет отключён на уровне хоста или ядро не будет обновлено. Олаолува Осунтокун и официальный аккаунт Lightning Labs рекомендовали установить обновление.

Исследователь безопасности Маркус Хатчинс позже сообщил о сканировании в масштабах всего интернета, соответствующем поиску уязвимых систем злоумышленниками. Его сканирование выявило около 2,1 млн серверов, доступных через MPTCP на порту 443 — стандартном порте для HTTPS-трафика. International Cyber Digest 4 ноября обратил широкое внимание на эту находку, выделив как активность сканирования, так и медленные сроки выпуска исправлений Ubuntu.

Canonical с тех пор сделала исправленные ядра доступными в opt-in-репозитории proposed — промежуточной области Ubuntu, где пакеты тестируются перед более широким выпуском — для Ubuntu 22.04, 24.04 и 26.04, хотя они ещё не попали в канал регулярных обновлений. Red Hat выпустила исправления для RHEL 8, 9 и 10 1 ноября, а Debian, Amazon Linux и другие дистрибутивы выпустили патчи ещё раньше.

UmbrelOS 2.0.1 включила исправление ядра 1 ноября для устройств x86 и применила меру блокировки трафика на Raspberry Pi, где исправленное ядро ещё не было доступно. Подтверждённых случаев эксплуатации «в дикой природе» не зафиксировано, и уязвимость не была добавлена в каталог Known Exploited Vulnerabilities агентства CISA. Демонстрация удалённого получения root-доступа от Anthropic остаётся неопубликованной.

Практическая уязвимость наиболее высока на серверах, доступных из интернета. Домашние настольные системы за типичными NAT и межсетевыми экранами, без публичных TCP-слушателей, затронуты значительно меньше. Для операторов Lightning на Linux новые версии LND устраняют конкретный путь атаки через слушатель MPTCP, использованный публичным эксплойтом, однако более широкая уязвимость ядра сохраняется до установки исправленного ядра. Оставшиеся ориентиры для наблюдения: перенос исправленных ядер Ubuntu из proposed в канал регулярных обновлений, публикация демонстрации удалённого root-доступа от Anthropic и возможное добавление уязвимости в каталог Known Exploited Vulnerabilities CISA.

Эта статья впервые появилась на Bitcoin Magazine, автор — Juan Galt.