Linux-Lücke CVE-2026-98432: Claude entwickelt Root-Exploit

Claude hat laut Anthropic einen Exploit entwickelt, der auf bestimmten Linux-Servern Root-Befehle ausführen kann. Bei Ubuntu und RHEL ist der konkrete Patch-Stand entscheidend.

Was hinter der Linux-Lücke CVE-2026-98432 steckt

Die Sicherheitslücke CVE-2026-98432 betrifft die IPv4-TCP-Verarbeitung im Linux-Kernel. Durch eine Race Condition können gleichzeitig ablaufende Vorgänge auf Speicher zugreifen, der bereits freigegeben wurde. Diese Fehlerklasse heißt Use-after-free.

Vereinfacht gesagt arbeitet ein Teil des Kernels noch mit Daten, deren Speicher ein anderer Teil bereits freigegeben hat. Daraus können Abstürze oder Speicherbeschädigungen entstehen. Red Hat beschreibt diesen Fehler beim Verarbeiten bestimmter TCP-Verbindungsanfragen und bei der Migration solcher Anfragen. Die primäre IPv6-Verarbeitung sei davon nicht betroffen. Quelle: Red Hats Sicherheitseintrag.

Aufmerksamkeit erhält die Lücke durch einen Bericht von Anthropic: Das Unternehmen beschreibt einen darauf aufbauenden Angriff mit Root-Rechten. Auch Golem berichtet über den Exploit und ausstehende Distributionsupdates.

Was Claude laut Anthropic entwickelt hat

In seinem Forschungsbericht vom 27. Oktober 2026 beschreibt Anthropic ein unveröffentlichtes internes Claude-Modell. Nach anfänglichen Anweisungen habe es einen Exploit geschrieben, der auf einem Linux-Server mit einem Multipath-TCP-Listener beliebige Befehle als root ausführen kann. Zugangsdaten oder eine Benutzerinteraktion seien dafür nicht erforderlich.

Root bezeichnet das Konto mit umfassenden Systemrechten. Eine erfolgreiche Befehlsausführung mit diesen Rechten hätte entsprechend weitreichende Folgen.

Im beschriebenen Versuch benötigte die Angriffskette zunächst 48 Minuten, um eine Kernel-Adresse auszulesen. Weitere fünf Minuten führten zur Befehlsausführung. Diese Zeiten stammen aus dem konkreten Proof of Concept und sind keine allgemeine Zeitangabe für beliebige Systeme. Quelle: Anthropics Forschungsbericht.

Wichtige Einschränkung: Der Bericht belegt damit keinen universellen Root-Zugriff auf alle Linux-Rechner. Anthropic nennt ausdrücklich einen Multipath-TCP-Listener als Voraussetzung des beschriebenen Exploits. Die grundsätzliche Kernel-Lücke und diese konkrete Angriffskette müssen getrennt betrachtet werden.

Ubuntu und RHEL: Wie steht es um die Patches?

Stand der Recherche ist der 30. Oktober 2026. Anthropic zufolge wurde die Lücke im Upstream-Kernel behoben und die Korrektur in alle gepflegten stabilen Kernel-Zweige zurückportiert. Das bedeutet allerdings noch nicht, dass jede Distribution bereits ein passendes Update ausliefert.

Ubuntu: Korrekturen noch in Arbeit

Der Ubuntu-Sicherheitstracker zu CVE-2026-98432 führt beim regulären Paket linux für Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS und 26.10 weiterhin den Status "Vulnerable" mit laufenden Arbeiten an der Behebung.

Ubuntu vergibt die Priorität "High" und nennt einen CVSS-Wert von 9,8. Für die eigene Installation zählt der Eintrag des tatsächlich verwendeten Kernel-Pakets. Der Tracker unterscheidet zahlreiche Varianten, darunter Kernel für unterschiedliche Cloud-Umgebungen.

RHEL: Red Hat bewertet das Risiko anders

Red Hat nennt unter anderem RHEL 8, 9 und 10 als betroffen. Die Korrekturen seien auf ein zukünftiges Update verschoben.

Der Hersteller bewertet die eigenen Produkte mit einem CVSS-Wert von 5,9 und dem Schweregrad "Moderate". Im Vordergrund stehen dabei die hohe Angriffskomplexität und mögliche Systemabstürze. Ein Einfluss auf Vertraulichkeit oder Integrität sei für die bewerteten Produkte nicht nachgewiesen. Quelle: Red Hats Bewertung.

Diese Einschätzung und Anthropics Exploit-Bericht beziehen sich auf unterschiedliche Bewertungsgrundlagen. Der niedrigere Wert allein ist deshalb keine Entwarnung für jede denkbare Konfiguration.

Was Betreiber jetzt prüfen sollten

Für den praktischen Umgang sind drei Fragen entscheidend:

1. Welches Kernel-Paket läuft auf dem System, und welchen Status nennt der Hersteller dafür?
2. Welche TCP-Dienste sind erreichbar, insbesondere solche mit einem Multipath-TCP-Listener?
3. Wie wird ein verfügbares Sicherheitsupdate installiert und anschließend dessen Aktivierung geprüft?

Die Kernel-Versionsnummer allein reicht für die Bewertung häufig nicht aus. Distributionen übernehmen Sicherheitskorrekturen auch in ältere Versionen. Maßgeblich sind deshalb die Herstellerangaben zum konkreten Paket.

Bis eine Korrektur verfügbar ist, sollte geprüft werden, ob betroffene Dienste tatsächlich aus allen derzeit erlaubten Netzen erreichbar sein müssen. Eine eingeschränkte Erreichbarkeit kann die Angriffsfläche reduzieren, ersetzt aber keinen Patch.

Was der Fall über KI in der Sicherheitsforschung zeigt

Der Bericht liefert ein konkretes Beispiel dafür, wie KI bei der Entwicklung komplexer Exploits eingesetzt werden kann. Die Aussagekraft bleibt an den dokumentierten Versuch und die Angaben des Herstellers gebunden.

Für den Betrieb eines Servers ergibt sich daraus eine sehr praktische Aufgabe: Die CVE-Nummer mit dem eigenen Kernel-Paket abgleichen, die erreichbaren Dienste bewerten und den weiteren Update-Status verfolgen. Erst diese Informationen machen aus einer allgemeinen Sicherheitsmeldung eine belastbare Entscheidung für das eigene System.