Ubuntu lässt kritische Root-Lücke offen – Debian patcht längst
WTF Ubuntu?
CVE-2026-98432 steckt seit 2016 im TCP-Code des Linux-Kernels, erreicht CVSS 9.8 und lässt sich aus der Ferne ausnutzen – Anthropic hat einen funktionierenden Exploit für Root-Zugriff gebaut. Debian lieferte den Patch am 16. Oktober, Ubuntu hat ihn über zwei Wochen später noch immer nicht veröffentlicht, obwohl alle unterstützten Releases als verwundbar gelistet sind. Der Autor zieht seine Server von Ubuntu ab.
Ich kann nicht ausdrücken, wie verrückt das ist. Ich hatte keine Zeit, meine Dienste und Daten zu migrieren, als ich davon erfuhr, also musste ich alle meine Server, auf denen Ubuntu läuft, offline nehmen.
- BoppreH
Schlimmer noch: Die Ubuntu-Sicherheitsvorfallseite[0] listet „Ubuntu Priority: High“ auf (im Gegensatz zu Critical, was einen außerplanmäßigen Patch auslösen würde). Es gibt einen Link „Why this priority?“, der schlicht sagt:
> Why is this CVE high priority?
> See ubuntu cvss score
Das war's, wir bekommen nicht mal einen Punkt an diesen TBD von einem Satz. Danach folgt ein generischer Link, der erklärt, was „Ubuntu Priority“ ist, aber diese Seite widerspricht ihrer Wahl. Zu beachten ist auch, dass sie keinerlei Mitigationen anbietet, und selbst die (entsetzlich unklare) Beschreibung ist von der NIST-Seite kopiert, es gibt also keine tatsächliche Aussage von Ubuntu.
Ich hatte schon ein schlechtes Gefühl, als ich das erste Mal „Get more security updates through Ubuntu Pro“ bei `apt upgrade` gesehen habe, das ist jetzt der Anstoß, den ich brauchte, um zu einer anderen Distro zu wechseln.
[0] https://ubuntu.com/security/CVE-2026-98432#priority-reason
- throw0101c
Fürs Protokoll: Die Kernel mit den Fixes sind in den „proposed“-Repos für jedes LTS-Release:
* https://launchpad.net/ubuntu/+source/linux
Man kann sie mit einem angehängten „-t“ an sein apt-get herunterladen (erscheinen aber standardmäßig nicht).
Bei 26LTS ging der neue Kernel am 28. Oktober in die updates/security-Repos.
- alentred
Um fair zu sein: Obwohl kritisch (9.8), hat es einen EPSS-Score von <1 % (Wahrscheinlichkeit, dass es tatsächlich ausgenutzt wird). Laut [1], [2] und anderen führt das Problem im schlimmsten Fall zu einem Kernel-Crash oder einem Denial of Service. Ich habe auch den Beitrag von Anthropic gelesen, aber da passt einfach etwas nicht zusammen zwischen allen, die sagen, es sei ein DoS, und Anthropic allein, das RCE behauptet. Bisher steht in den Advisories, die ich gelesen habe, „unter bestimmten Bedingungen ... zu einem Kernel-Crash führen“ und Ähnliches.
[1] https://app.opencve.io/cve/CVE-2026-98432
[2] https://aws.amazon.com/security/security-bulletins/2026-160-...
- paxy
Kritik ist in Ordnung, aber sei wenigstens konstruktiv dabei. Diese „Ich verlange, mit dem Manager zu sprechen“-Energie sollte aus Open Source rausgehalten werden.
Der Beitrag liefert keine Details darüber, was diese Schwachstelle ist, wie kritisch sie ist, wie sie sie persönlich betrifft, wie verwundbar ihre Server sind, wie sie daran vorbeiarbeiten.
Nur ein Titel, der auf maximale Empörung ausgelegt ist, gefolgt von ein paar bedeutungslosen Zeilen.
- vanschelven
Ich wusste, worum es geht, bevor ich auf den Link geklickt habe. Während ich versuchte, Abhilfemaßnahmen für verwundbare Systeme zu finden, suchte ich auch nach irgendeiner Art von „offizieller“ Stellungnahme von Ubuntu-Seite dazu, was zum Teufel hier eigentlich los ist, aber ich habe noch keine finden können. Ich schätze, es muss durch die Phase gehen, in der „Hacker News genug Aufmerksamkeit darauf richtet, dass es jemanden kümmert“, die wir alle so gut kennen ...
- StrLght
Wurden Unternehmen wegen dieser Schwachstelle kompromittiert? Ubuntu hat eine absolut riesige Installationsbasis. Das Fehlen nennenswerter Vorfälle deutet darauf hin, dass 9.8 vielleicht nicht die Realität widerspiegelt.
Vielleicht ist es Zeit für StealMyBitcoinV2 ...
- strenholme
Nun, ich habe es getan. Das war der Tropfen, der das Fass zum Überlaufen brachte: Ich bin zu Rocky Linux gewechselt. Der komplette Umstieg hat mich vielleicht vier Stunden gekostet.
Ich bin eher ein RedHat-Nutzer, und Ubuntu hat sich für mich nie wirklich angenehm angefühlt. Ich mag es nicht, alle zwei Jahre oder so inkrementelle Upgrades machen zu müssen; ich würde lieber etwa alle 7-8 Jahre ein einziges großes Upgrade machen und dafür eine felsenfeste Entwicklungsumgebung haben. Außerdem ist `dnf` einfacher und stabiler als das Durcheinander aus `apt-get` und `unattended-upgrades`.
- strenholme
Hier ist Ubuntus Webseite zu dieser Schwachstelle:
https://ubuntu.com/security/CVE-2026-98432
Sie ist, über eine Woche nach Offenlegung und Patches, in Ubuntu immer noch ungepatcht.
Was mich betrifft, ein Teil von mir will zu Rocky Linux 10 wechseln.
- bortimus
Wenn AWS Patches für Amazon Linux 2 ausliefert und Ubuntu immer noch wartet ... ja.
- imjonse
„Anthropic sagt, es habe einen funktionierenden Exploit gebaut, der Root auf einem Server erlangt. Eine totale Übernahme.“
Von der verlinkten Ubuntu-CVE-Seite
„
Vulnerable system - Confidentiality impact Low
Vulnerable system - Integrity impact Low
Vulnerable system - Availability impact High
„
was eher auf einen Denial of Service hindeutet. Also was denn nun, es gibt Dutzende Kernel-CVEs, die in der verlinkten Debian-E-Mail behoben werden.