据 BleepingComputer 报道，Anthropic 的安全研究人员为 Linux 内核漏洞 CVE-2026-98432 开发出利用代码，未经认证的攻击者可在运行多路径 TCP（MPTCP）监听的服务器上以 root 身份远程执行命令。Linux 内核 CVE 团队给出 9.8 分（满分 10 分），影响可追溯到 4.4 版的内核。
BleepingComputer 称，CVE-2026-98432 是内核 IPv4 TCP 网络代码中的释放后使用漏洞。Linux 内核公告写道，问题来自内核处理 TCP 连接请求时的竞态条件，可能造成释放后使用。普通 TCP 连接同样受影响，但在没有 MPTCP 监听的服务器上，远程代码执行尚未被公开演示。
红帽表示，利用这一竞态比发送一个恶意数据包更复杂，因此把漏洞按可能导致内核崩溃的拒绝服务问题处理，评分 5.9 分。Anthropic 的报告则称，一款尚未发布的 Claude 模型写出绕过内核地址空间布局随机化（KASLR）的利用，在运行 MPTCP 监听的 Linux 服务器上以 root 身份执行任意命令，耗时约 53 分钟。BleepingComputer 同时写道，目前没有 CVE-2026-98432 遭在野利用的已确认报告。
MPTCP 允许一个连接同时使用多条网络路径，以改善性能和可靠性，常见于设备同时具备 Wi-Fi 与蜂窝等多重连接的环境。BleepingComputer 指出，应用通常不会默认开启 MPTCP。从 Go 1.24 起，只要内核支持，Go 在 Linux 上默认为 TCP 监听开启 MPTCP，因此一些 Go 编写的网络服务可能在管理员不知情时开启了 MPTCP 监听。macOS 使用 Apple 的 XNU 内核，不受这一漏洞影响。
BleepingComputer 报道，漏洞已在上游 Linux 内核修复，并回移植到仍在维护的内核分支，但安全更新尚未推送到所有受影响的发行版。
据 Canonical 安全跟踪页面，截至 10 月 30 日，Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS 和 26.10 仍受影响，内核修复正在进行。红帽列出 RHEL 8、9、10 受影响，修复计划在后续更新中提供；RHEL 7 不受影响，因其内核不含这段有漏洞的代码。CIQ 确认 Rocky Linux 8、9、10 受影响。
据 Debian 安全跟踪页面，Debian 12 在内核包 6.1.190-1、Debian 13 在 6.12.113-1 中已修复，Debian testing 与 unstable 也有修复包。BleepingComputer 还称，Oracle Linux、Amazon Linux 和 SUSE 也为部分内核版本发布了修复。
BleepingComputer 建议管理员查看所在发行版的安全公告，并在内核更新发布后安装。补丁尚未提供时，把访问限制在可信网络或 IP 地址可以降低风险。CIQ 建议临时拦截带 IP 选项的 IPv4 TCP 数据包，使其到不了有漏洞的 TCP 处理代码，并给出 nftables 规则示例。CIQ 提醒，仅关闭 MPTCP 不够，因为普通 TCP 流量仍可触发漏洞。
