Resumo executivo
A CVE-2026-98432 é uma condição de use-after-free no subsistema IPv4 do kernel Linux. Segundo a Red Hat, uma condição de corrida no tratamento de pedidos TCP retransmitidos ou de migração de socket pode manter opções de socket em uso após sua liberação.
Um atacante remoto, sem autenticação e sem interação do usuário, pode acionar o caminho vulnerável por tráfego de rede especialmente sincronizado. O impacto confirmado pelo fornecedor inclui indisponibilidade e corrupção de memória; a execução remota de código é um impacto potencial. A Red Hat atribuiu CVSS 3.1 9,8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
Não encontramos confirmação oficial de exploração ativa nem inclusão no catálogo CISA KEV nesta atualização. Isso não reduz a urgência de corrigir sistemas expostos: TCP IPv4 é uma superfície fundamental em servidores e nós de infraestrutura.
Escopo confirmado
O boletim RHSB-2026-016 lista como diretamente afetados RHEL 8, RHEL 9, RHEL 10 e OpenShift Container Platform. Produtos que dependem do kernel RHEL — incluindo RHEL CoreOS e produtos em camadas — também precisam ser avaliados.
| Plataforma | Estado reportado pela Red Hat | Ação recomendada |
|---|---|---|
| RHEL 8 | Kernel e kernel-rt com erratas corrigidas | Aplicar a errata aplicável e reinicializar conforme a política operacional. |
| RHEL 9 | Kernel corrigido; kernel-rt ainda listado como afetado | Atualizar o kernel e acompanhar a correção do kernel-rt, se utilizado. |
| RHEL 10 | Kernel com errata corrigida | Aplicar a errata aplicável e validar o kernel em execução. |
| OpenShift / RHEL CoreOS | Itens CoreOS listados como afetados | Planejar atualização do cluster e dos nós conforme o advisory da plataforma. |
RHEL 7 aparece como não afetado porque o código vulnerável não está presente. Use o estado do produto e a errata do fornecedor, não apenas a versão upstream do kernel: a Red Hat aplica correções por backport.
Correções e versões
Na consulta de 3 de novembro, a base da Red Hat registra correções para RHEL 8 kernel (RHSA-2026:93414), RHEL 8 kernel-rt (RHSA-2026:93415), RHEL 9 kernel (RHSA-2026:93412) e RHEL 10 kernel (RHSA-2026:93413). A fonte não confirma, nesta visão pública, uma versão numérica única que cubra todos os fluxos; consulte a errata correspondente à sua release e arquitetura antes de programar a mudança.
Em OpenShift, trate a atualização do nó como mudança coordenada de plataforma. Confirme a versão do RHCOS distribuída no cluster, a janela de drenagem e a compatibilidade dos operadores antes da rotação. Não desative validações de integridade para acelerar a atualização.
Mitigação enquanto a correção é aplicada
- Inventarie servidores RHEL, nós de OpenShift, appliances e hosts virtualizados que recebem conexões TCP IPv4. Priorize os acessíveis pela Internet e serviços de borda.
- Aplique as erratas de kernel do fornecedor e valide, após a reinicialização programada, a versão efetivamente em execução. Para clusters, use o processo suportado de atualização e drenagem de nós.
- Como controle temporário, avalie filtros de borda para pacotes TCP IPv4 com opções IP. A Red Hat informa que isso reduz a exposição, mas não substitui atualização e deve ser testado antes em ambiente compatível.
- Restrinja acesso externo apenas aos serviços indispensáveis. Segmentação, listas de origem e balanceadores não corrigem a falha, mas reduzem o conjunto de sistemas alcançáveis.
- Registre a exceção de risco de qualquer host que não possa ser atualizado e defina responsável, controle compensatório e prazo de revisão.
Hardening e detecção
- Exposição: mantenha inventário de portas TCP publicadas e remova listeners, endereços ou regras de NAT que não sejam necessários.
- Ciclo de patch: acompanhe erratas por produto, arquitetura e variante de kernel, incluindo kernel-rt e imagens CoreOS.
- Observabilidade: centralize eventos de reinicialização, panic/oops de kernel, disponibilidade de serviços e mudanças em regras de firewall.
- Resposta: investigue reinicializações inesperadas e falhas de processo em servidores expostos; preserve logs de rede e de kernel antes de reconfigurar o host.
- Validação: use a fonte da Red Hat para confirmar estado fixo. Varreduras que avaliam só a versão upstream podem gerar falsos positivos em distribuições com backport.
- Os hosts inventariados foram associados à errata correta ou justificados como não afetados.
- Os kernels corrigidos estão efetivamente em execução após a reinicialização.
- Os nós de OpenShift/CoreOS foram atualizados conforme o ciclo suportado ou têm exceção de risco ativa.
- As exposições TCP externas e os controles compensatórios foram revisados pela equipe responsável.