Linux heeft twee kwetsbaarheden in de kernel verholpen, meldt het NCSC in advisory NCSC-2026-0461. De bekendste van de twee is CVE-2026-98432, de race condition in de IPv4 TCP-code met CVSS-score 9,8 die vorige week al het nieuws haalde nadat Anthropic er een werkende remote-root-exploit voor publiceerde. Die kwetsbaarheid en het bijbehorende patchbeeld zijn al uitgebreid behandeld in een eerder artikel.
Nieuw is CVE-2026-99999, met een CVSS-score van 9,3. Het zit in de validatie van checksum-metadata in het IPv4-netwerksubsysteem en wordt door het NCSC aangeduid als “PwnEscape”. Een kwaadwillende of gecompromitteerde virtuele machine kan vervormde checksumgegevens meesturen om code uit te voeren op de onderliggende hostmachine, het systeem te laten crashen of gevoelige informatie te lekken. Daarmee doorbreekt het lek in theorie de scheiding die virtualisatie tussen gast en host moet garanderen.
Het NCSC schat grootschalig misbruik van beide kwetsbaarheden niet erg waarschijnlijk, vanwege de complexiteit van exploitatie en de extra beveiligingsmaatregelen die grote distributies al hebben ingebouwd. Toch benadrukt het advies dat kwetsbaarheden in de netwerkstack van de kernel zich vaak zonder authenticatie en op afstand laten misbruiken.
Patches zijn beschikbaar vanuit het Linux-kernelteam en worden doorgevoerd door distributies als Red Hat, SUSE, Oracle Linux, Rocky Linux en Debian, en door partijen als Microsoft (Azure Linux) en Nutanix (AHV). Beheerders van hypervisors waarop onbetrouwbare of externe gasten draaien, doen er goed aan de kernel op korte termijn te updaten. Voor reguliere Linux-servers zonder gastvirtualisatie blijft de TCP-kwetsbaarheid uit het eerdere artikel het grotere aandachtspunt.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Draait u virtuele machines met onbetrouwbare of externe gasten op Linux-hosts, bijvoorbeeld bij verhuur van VPS'en? Dan is CVE-2026-99999 de kwetsbaarheid om voorrang te geven, los van de al bekende TCP-bug.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.