Anthropic称Claude发现潜伏11年的Linux内核漏洞

Anthropic近日披露，其内部未发布的Claude模型在系统性测试中发现Linux内核漏洞CVE-2026-98432。该漏洞CVSS评分为9.8，源于IPv4 TCP握手处理中的释放后使用缺陷：代码于2015年10月提交，并随Linux 4.4引入。攻击者可通过网络流量触发漏洞，无需密码或用户交互，进而远程执行代码并获取Root权限。 Anthropic称，Claude还生成了可用的两阶段利用程序：第一阶段约48分钟，用于破解内核地址随机化保护；第二阶段约5分钟，可执行任意命令。整个过程约53分钟，利用失败不会导致目标崩溃。 上游修复于10月15日完成，涉及5.10.272、6.1.190、6.12.113、6.18.56、7.2.10及7.3-rc7等版本。Debian、Red Hat和Amazon Linux等发行版已陆续发布补丁。截至11月1日，Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS和26.10仍被标记为受影响，修复程序尚在开发中。Go 1.24及更高版本在Linux上默认启用Multipath TCP，可能扩大漏洞暴露面；禁用MPTCP只能降低风险，无法消除内核缺陷。Anthropic表示，利用代码未公开发布。