Ubuntu lässt kritische Kernel-Lücke mit CVSS 9.8 seit fast drei Wochen offen
Ubuntu still has not released patch for Linux 0day RCE in almost 3 weeks
Für CVE-2026-98432, eine Schwachstelle mit einem CVSS-Score von 9.8, gibt es weiterhin keine gepatchten Kernel für Ubuntu 22.04, 24.04 und 26.04 LTS. Betreiber dieser Releases haben damit kein offizielles Paket, das die Lücke schließt – besonders riskant für internetzugewandte und mandantenfähige selbst gehostete Systeme, die auf die LTS-Kernel als Isolationsgrenze setzen. Ein Zeitplan für die Fixes wurde nicht genannt; Administratoren müssen selbst entscheiden, ob sie beim Standard-Kernel bleiben, Out-of-Tree-Mitigationen anwenden oder Workloads auf bereits gepatchte Systeme verlagern.
Bis Pakete erscheinen, bleiben diese Hosts der Remote- oder lokalen Attacke ausgesetzt, die die CVE ermöglicht.
- jimrandomh
Früher war ich standardmäßig bei Ubuntu für meine diversen Linux-Kisten, aber als ich Dinge upgraden wollte und feststellte, dass Ubuntu keinen Patch hatte, hat das mein Vertrauen in es erschüttert. Wahrscheinlich werde ich es in Zukunft nicht für neue Server wählen.
- c0l0
Es ist ziemlich uninteressant, erneut festzustellen, dass Ubuntu sich dazu entschieden hat. Ich würde gerne den (offiziellen, falls vorhanden – sonst inoffiziellen/spekulativen) Grund wissen, WARUM sie es nicht getan haben.
Es scheint nicht so kompliziert zu sein, zu patchen, und Kernel-Upgrades gibt es heutzutage wie Sand am Meer. Was also veranlasst sie, einen Fix so lange hinauszuzögern?
- harry8
Frage:
Jeder Consumer-Router-Wireless-AP, den ich gesehen habe, läuft mit Linux.
Ich sehe nie Sicherheitsupgrades für die Kernel, die sie verwenden. Nicht ein einziges. Nie.
Ist das etwas, das Anlass zur Sorge geben sollte? Selbst wenn man selbst keinen Consumer-Grade-Router von TP-Link, Netgear, Asus oder sonst wem betreibt.
Update:
Der Kontext, den ich hätte erwähnen sollen, ist, dass ich denke, LLMs geben Script-Kiddies Werkzeuge und Expertise auf Nationalstaat-Niveau. Dieser bekannte Bug ist immer weniger interessant als die nächsten zwanzig.
- majorchord
Sie bieten auch keine Mitigationsmöglichkeiten oder Anleitungen... RHEL hat hier eine Methode: https://access.redhat.com/security/vulnerabilities/RHSB-2026...
Allerdings behaupten sie auch, die Mitigation „reduziert die Exposition gegenüber dieser Schwachstelle, kann sie aber nicht vollständig verhindern“, ohne näher auszuführen, was das bedeutet oder wie das möglich sein soll... Ich habe auch noch niemanden sonst gesehen, der diese Behauptung aufstellt.
- pelagicAustral
Ich habe keinen Exploit in freier Wildbahn gesehen. Ich habe mindestens 20 verschiedene Server ungepatcht (natürlich), aber das Risiko wird maßlos übertrieben. Es gibt eine Reihe von Mitigationsoptionen.