הפגיעות הקריטית CVE-2026-98432 (CVSS 9.8) נסגרה בליבת לינוקס, עדכן את הליבה בשרתים שלך ואתחל מחדש. אנתרופיק אמר שקלוד עצמו כתב את הניצול עבורו: הוא מקבל מרחוק ביצוע פקודה מהשורש ללא אישורים בכ-53 דקות של ניסיונות. הקוד לא פורסם.
השגיאה היא בעיבוד של לחיצת היד של TCP על IPv4 מהקרנל 4.4 ומופעלת לפני שהחיבור מגיע לאפליקציה. התקפות הניצול דרך יציאות Multipath TCP: בלינוקס, הן נפתחות כברירת מחדל על ידי תוכניות Go החל מגרסה 1.24. השגיאה עצמה אינה תלויה ב-MPTCP.
ל-דביאן, אמזון לינוקס, אורקל לינוקס ו-SUSE חלקית כבר יש תיקונים; לאובונטו ו-RHEL עדיין אין אותם. עד התיקון ממליצה על כלל nftables, שמבטל מנות TCP עם אפשרויות IPv4: הוא מקטין את הסיכון, אך אינו מגן לחלוטין. ניתן להשבית MPTCP מיותר באמצעות sysctl net.mptcp.enabled=0 והפעלה מחדש של שירותים. פקודות וסטטוס להפצות נאספו באתר.