# CVE-2026-98432 ช่องโหว่ TCP ใน Linux kernel คะแนน 9.8 Ubuntu และ RHEL ยังรอแพตช์

> CVE-2026-98432 ช่องโหว่ TCP ใน Linux kernel คะแนน 9.8 Anthropic สาธิตการรันคำสั่งระดับ root ผ่าน MPTCP Debian แก้แล้ว แต่ Ubuntu กับ RHEL ยังรอแพตช์ ณ 30 ต.ค.

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-10-30T19:17:00.000Z · อัปเดต: 2026-10-30T19:17:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/cve-2026-98432-linux-kernel-tcp-mptcp-ubuntu-rhel/

## สรุปประเด็นสำคัญ

- **CVE-2026-98432** เป็น use-after-free ในการจัดการการเชื่อมต่อ TCP แบบ IPv4 เผยแพร่ **15 ตุลาคม 2026** NVD แสดงคะแนน **9.8** ส่วน Red Hat ให้ **8.1** ระดับ Important
- Anthropic เปิดเผยเมื่อ **27 ตุลาคม 2026** ว่าทำ proof of concept รันคำสั่งระดับ root จากระยะไกลบนเซิร์ฟเวอร์ที่เปิด Multipath TCP listener ได้ในเวลาราว **53 นาที**
- รุ่นที่แก้แล้วมี **5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10** และ 7.3-rc7 Debian มีแพตช์แล้ว แต่ Ubuntu กับ RHEL ยังไม่มีแพตช์ ณ 30 ตุลาคม
- ทีม Go เตือนว่าโปรแกรม Go ตั้งแต่รุ่น **1.24** เปิด MPTCP เป็นค่าเริ่มต้น และชี้ว่าระบบที่ไม่มี MPTCP listener ก็อาจเสี่ยงจากการโจมตีลักษณะใกล้เคียง

CVE-2026-98432 ช่องโหว่ TCP ใน Linux kernel คะแนน 9.8 ตาม NVD กลายเป็นเรื่องเร่งด่วนเมื่อ 27 ตุลาคม 2026 หลัง Anthropic เปิดเผยว่าสาธิตการรันคำสั่งระดับ root จากระยะไกลได้ เคอร์เนลสายหลักและ Debian แก้แล้ว แต่ Ubuntu และ Red Hat Enterprise Linux ยังไม่มีแพตช์ ณ 30 ตุลาคม

ข้อจำกัดสำคัญคือการสาธิตต้องมีบริการที่เปิด Multipath TCP (MPTCP) listener ไม่ใช่ทุกเซิร์ฟเวอร์ Linux จะถูกโจมตีด้วยวิธีเดียวกัน แต่ทีม Go เตือนว่าบั๊กต้นทางไม่ได้จำกัดอยู่ที่ MPTCP ยังไม่มีรายงานการโจมตีจริงในแหล่งที่เราเปิดอ่าน และ CVE นี้ยังไม่อยู่ในแคตตาล็อก KEV ฉบับ 30 ตุลาคม


## CVE-2026-98432 คืออะไร

บันทึกของเคอร์เนลอธิบายว่า เมื่อมีการสร้างการเชื่อมต่อ TCP แบบ IPv4 หน่วยความจำของตัวเลือก IP ถูกส่งต่อโดยไม่คัดลอก ขณะที่ CPU อีกตัวอาจยังอ่านข้อมูลชุดเดิมอยู่ จึงเกิด use-after-free การแก้คือหน่วงการคืนหน่วยความจำจนกว่าผู้อ่านจะทำงานเสร็จ

[Anthropic](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) ระบุว่าโมเดลวิจัยภายในที่ยังไม่เปิดตัวเขียน exploit ที่ทำงานได้โดยไม่ต้องมีรหัสผ่านหรือการโต้ตอบจากผู้ใช้ ใน proof of concept ใช้เวลา 48 นาทีในขั้นแรก และอีก 5 นาทีจนถึงการรันคำสั่ง รายงานยังระบุว่าการแพ้ race ทำให้แค่การเชื่อมต่อล้มเหลว ไม่ทำให้ระบบล่ม ผู้โจมตีจึงลองซ้ำได้เรื่อย ๆ

เราไม่ลงรายละเอียดขั้นตอนการโจมตีในบทความนี้

![รายงานของ Frontier Red Team ของ Anthropic เผยแพร่ 27 ตุลาคม 2026 รวมการสาธิตบน Linux ที่เกี่ยวกับ CVE-2026-98432](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/cve-2026-98432-linux-kernel-tcp-mptcp-ubuntu-rhel/anthropic-research-claude-vulnerabilities.webp?v=b46958a3) _(ภาพ: Anthropic (ภาพหน้าจอ))_

## สถานะแพตช์ CVE-2026-98432 ของแต่ละดิสโทร

ตารางนี้ตรวจจากหน้าของแต่ละผู้ดูแลเมื่อ 31 ตุลาคม 2026 และสถานะเปลี่ยนได้เร็ว ควรตรวจซ้ำก่อนลงมือ

| ระบบ | สถานะ | คะแนนหรือระดับ |
| --- | --- | --- |
| เคอร์เนล upstream | แก้แล้วใน 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 และ 7.3-rc7 | NVD 9.8 |
| Debian | bookworm security 6.1.190-1, trixie security 6.12.113-1, sid 7.2.13-1 แก้แล้ว | ไม่ระบุ |
| Ubuntu | 26.10, 26.04 LTS, 24.04 LTS และ 22.04 LTS สถานะ Vulnerable กำลังดำเนินการ ส่วน 20.04, 18.04 และ 16.04 สถานะ Vulnerable | Priority High, CVSS 3 9.8 |
| Red Hat | RHEL 8, 9, 10 และ OpenShift 4 ได้รับผลกระทบ ยังไม่มีรายการแพ็กเกจแก้ ส่วน RHEL 6 และ 7 ไม่ได้รับผลกระทบ | Important, CVSS 3 8.1 |
| Oracle Linux, SUSE, Amazon Linux | CSO Online ระบุว่ามีแพ็กเกจที่แก้แล้วในบางรุ่น | ตรวจตามผู้จำหน่าย |

CSO Online ระบุว่าบั๊กนี้กระทบเคอร์เนลย้อนไปถึงรุ่น 4.4 เครื่องที่ใช้สายเก่าจึงต้องดูประกาศของผู้จำหน่ายรายนั้น ไม่ใช่ดูเลขรุ่น upstream อย่างเดียว

![หน้า Ubuntu Security ของ CVE-2026-98432 ระบุ Ubuntu Priority High และ CVSS 3 คะแนน 9.8](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/cve-2026-98432-linux-kernel-tcp-mptcp-ubuntu-rhel/ubuntu-security-cve-2026-98432.webp?v=60d97919) _(ภาพ: Ubuntu (ภาพหน้าจอ))_

## คะแนนของ CVE-2026-98432 ที่ไม่ตรงกัน

NVD แสดงคะแนน 9.8 ที่ผู้ส่งข้อมูลให้ไว้ Ubuntu แสดง CVSS 3 เท่ากัน แต่จัด Priority เป็น High ส่วน Red Hat ให้ 8.1 ระดับ Important แหล่งที่เราเปิดอ่านไม่ได้อธิบายเหตุผลของความต่างนี้ องค์กรไม่ควรใช้คะแนนต่ำสุดมาเลื่อนงาน เพราะ Anthropic รายงานว่าทำได้จริงในเงื่อนไขที่ระบุ

![หน้า NVD ของ CVE-2026-98432 บันทึกจากฐานข้อมูลช่องโหว่แห่งชาติของสหรัฐฯ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/cve-2026-98432-linux-kernel-tcp-mptcp-ubuntu-rhel/nvd-cve-2026-98432.webp?v=59f61fc9) _(ภาพ: NVD (ภาพหน้าจอ))_

## ทำไม CVE-2026-98432 จึงสำคัญกับโปรแกรม Go

[ประกาศของทีม Go](https://www.openwall.com/lists/oss-security/2026/10/30/1) ทำให้เรื่องนี้กว้างกว่าที่คิด ตั้งแต่ Go 1.24 โปรแกรม Go เปิด MPTCP เป็นค่าเริ่มต้นสำหรับ listen socket บน Linux องค์กรจึงอาจมี MPTCP listener โดยไม่ได้ตั้งใจเปิด

ทีม Go ระบุชัดว่าทางแก้ที่ดีที่สุดคือเคอร์เนลที่แก้แล้ว การปิด MPTCP รายโปรแกรมเป็นมาตรการที่เปราะบาง เพราะเหลือ listener ตัวเดียวก็ยังเสี่ยง และบั๊กนี้ไม่ได้เฉพาะกับ MPTCP ระบบที่ไม่มี MPTCP listener ก็อาจเสี่ยงจากการโจมตีลักษณะใกล้เคียง

เรื่องนี้เป็นอีกกรณีที่ AI ถูกใช้ค้นพบและพิสูจน์ช่องโหว่ร้ายแรง ต่อจาก[กรณี PHP2Shell](/security/ai-found-php2shell-openai-patch-the-planet-wiz/)

## สิ่งที่องค์กรไทยควรทำกับ CVE-2026-98432

ทีมที่ดูแลเซิร์ฟเวอร์ Linux ควรทำตามลำดับนี้

1. **แยกเครื่องตามดิสโทร** เครื่อง Debian และดิสโทรที่มีแพตช์แล้วให้อัปเดตเคอร์เนลและรีบูตก่อน
2. **ตรวจเครื่องที่เปิดรับการเชื่อมต่อจากอินเทอร์เน็ต** ว่ามีบริการ MPTCP หรือไม่ รวมถึงบริการที่เขียนด้วย Go 1.24 ขึ้นไป
3. **ใช้มาตรการชั่วคราวกับ Ubuntu และ RHEL หลังทดสอบแล้ว** ทีม Go แนะนำ `GODEBUG=multipathtcp=0` และผู้ร่วมสนทนาบน [oss-security](https://www.openwall.com/lists/oss-security/2026/10/30/6) ชี้ว่าปิดทั้งระบบได้ด้วย `sysctl -w net.mptcp.enabled=0` ซึ่งกระทบโปรแกรมที่ต้องใช้ MPTCP
4. **ติดตามหน้า Ubuntu และ Red Hat ทุกวัน** แล้วเตรียมรอบรีบูต เพราะแพตช์เคอร์เนลส่วนใหญ่ต้องรีบูตเครื่อง
5. **จำกัดการเข้าถึงบริการที่ไม่ต้องเปิดสาธารณะ** ด้วยไฟร์วอลล์ เพื่อลดเครื่องที่ถูกยิงจากอินเทอร์เน็ตได้โดยตรง

อ่านเรื่องช่องโหว่เคอร์เนลก่อนหน้าได้ที่ [Fragnesia CVE-2026-46300](/security/linux-kernel-fragnesia-cve-2026-46300-php2shell/) และติดตามข่าวอื่น ๆ ได้ที่[หมวด Security](/security/)

## คำถามที่พบบ่อย

### CVE-2026-98432 คืออะไร?

CVE-2026-98432 คือช่องโหว่ use-after-free ที่เกิดจาก race condition ในส่วนจัดการการเชื่อมต่อ TCP แบบ IPv4 ของ Linux kernel Anthropic สาธิตว่าผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันคำสั่งระดับ root ได้บนเซิร์ฟเวอร์ที่เปิด Multipath TCP listener

### Linux รุ่นใดแก้ CVE-2026-98432 แล้ว?

รุ่น upstream ที่แก้แล้วคือ 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 และ 7.3-rc7 ส่วน Debian มีแพ็กเกจ 6.1.190-1 และ 6.12.113-1 แล้ว แต่ Ubuntu กับ Red Hat Enterprise Linux ยังไม่มีแพตช์ ณ 30 ตุลาคม 2026

### ถ้ายังไม่มีแพตช์ CVE-2026-98432 ควรทำอย่างไร?

ตรวจว่าระบบเปิด MPTCP listener หรือไม่ ทีม Go แนะนำให้ปิด MPTCP ในโปรแกรม Go ด้วยค่า GODEBUG multipathtcp=0 และผู้ร่วมสนทนาบน oss-security ชี้ว่าปิดทั้งระบบได้ด้วย sysctl net.mptcp.enabled=0 แต่ทั้งสองวิธีเป็นมาตรการชั่วคราว ทางแก้จริงคือเคอร์เนลที่แก้แล้ว

### CVE-2026-98432 ถูกโจมตีจริงแล้วหรือยัง?

แหล่งที่เราเปิดอ่านยังไม่มีรายงานการโจมตีจริง และ CVE นี้ยังไม่อยู่ในแคตตาล็อก KEV ของ CISA ฉบับ 30 ตุลาคม 2026 แต่รายละเอียดของ proof of concept ถูกเผยแพร่แล้ว องค์กรจึงไม่ควรรอจนมีรายงานการโจมตี


## แหล่งอ้างอิง

- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [CVE-2026-98432](https://nvd.nist.gov/vuln/detail/CVE-2026-98432) — NVD
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu
- [CVE-2026-98432](https://security-tracker.debian.org/tracker/CVE-2026-98432) — Debian
- [Fwd: Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — oss-security
- [Anthropic AI model finds Linux kernel bug that leads to remote root access](https://www.csoonline.com/article/4242724/anthropic-ai-model-finds-linux-kernel-bug-that-leads-to-remote-root-access.html) — CSO Online