Команда Go предупредила о риске удалённого выполнения команд с правами root на Linux-серверах: показанная исследователями атака использует уязвимость ядра CVE-2026-98432 и требует доступного извне обработчика соединений Multipath TCP. Начиная с Go 1.24 программы включают MPTCP для входящих TCP-соединений по умолчанию, если его поддерживает система. Поэтому условие атаки может выполняться без отдельного решения администратора включить этот протокол. Предупреждение отправлено 29 октября и опубликовано в рассылке oss-security 30 октября.

MPTCP позволяет одному соединению использовать несколько сетевых путей. В демонстрации Anthropic от 27 октября специально подготовленные пакеты приводили к обращению ядра к уже освобождённой памяти: два участка обработки соединения работали одновременно, и один освобождал данные, пока другой ещё их читал. Исследователи описали обход защиты адресов памяти и последующее выполнение выбранной команды с максимальными правами — без пароля и действий пользователя. По их данным, первый этап занял 48 минут, второй — ещё около пяти; неудачные попытки не обрушивали всю систему, поэтому их можно было повторять. Эксплойт, по сообщению Anthropic, написала внутренняя исследовательская модель Claude после начальной постановки задачи людьми. Это результат исследовательского испытания.

Команда Go отдельно подчёркивает: сама ошибка находится в обработке IPv4 TCP и не ограничена MPTCP. Удалённое выполнение команд без MPTCP в этом сообщении не установлено, но его возможность не исключена. Отключение протокола у отдельных программ разработчики считают ненадёжной временной мерой: достаточно оставить один доступный обработчик, а корневой дефект всё равно сохранится. Предложение изменить настройку Go по умолчанию обсуждается; объявленного решения отключить её нет.

Исправление уже внесено в ядро Linux и поддерживаемые стабильные ветки, однако доставка дистрибутивам различается. В Debian исправленные пакеты доступны для Bookworm и Trixie. В обновлённой 30 октября карточке Ubuntu основной пакет linux для 22.04 LTS, 24.04 LTS, 26.04 LTS и 26.10 ещё помечен как уязвимый, с исправлением в работе. Наличие патча в исходниках ядра пока не означает, что каждый сервер уже получил защищённую версию.