مدلی منتشرنشده از Claude، هوش مصنوعی شرکت Anthropic، نقصی امنیتی در کرنل لینوکس پیدا کرد و برای آن حمله‌ای ساخت که می‌تواند دسترسی روت به سرور بدهد. Zoomit شناسهٔ نقص را CVE-2026-98432 و شدت آن را ۹٫۸ از ۱۰ اعلام کرده است. دسترسی روت بالاترین سطح اختیار در لینوکس است و به مهاجم امکان می‌دهد فرمان اجرا کند، تنظیمات را تغییر دهد و به فایل‌ها دسترسی پیدا کند.
طبق گزارش Zoomit، نقص کد شبکهٔ کرنل را درگیر می‌کند و سرورهایی در معرض خطرند که به ترافیک Multipath TCP گوش می‌دهند. این پروتکل اجازه می‌دهد یک ارتباط از چند مسیر شبکه استفاده کند؛ برای نمونه، وای‌فای و اینترنت همراه. بنابراین، صرف استفاده از لینوکس به‌تنهایی به معنی آسیب‌پذیر بودن هر دستگاهی نیست.
ریشهٔ مشکل، خطایی به نام use-after-free است: بخشی از حافظه آزاد می‌شود، اما پردازنده‌ای دیگر هنوز داده‌های آن را می‌خواند. در سناریوی شرح‌داده‌شده، این وضعیت می‌تواند به نشت اطلاعات حافظهٔ کرنل و عبور از KASLR، سازوکاری که جای اجزای کرنل را تصادفی می‌کند، منجر شود. سپس مهاجم می‌تواند کنترل مسیر پردازش را به دست بگیرد. Zoomit می‌گوید اثبات مفهومی که Anthropic ارائه کرده، حدود ۵۳ دقیقه برای رسیدن به دسترسی روت زمان برده است.
کدام نسخه‌ها وصله شده‌اند؟
به‌گزارش Zoomit، هشت شاخهٔ لینوکس از نسخهٔ 4.4 تحت تأثیرند. وصله‌ها برای نسخه‌های 5.10.272، 5.15.223، 6.6.159، 6.1.190، 6.12.113، 6.18.56، 7.2.10 و 7.3-rc7 منتشر شده‌اند. این فهرست شامل نسخه‌های پایدار و یک نسخهٔ آزمایشی است؛ مدیران باید نسخهٔ دقیق کرنل خود را با بستهٔ مناسب توزیع‌شان تطبیق دهند.
Zoomit می‌گوید Debian، Oracle Linux، SUSE و Amazon Linux بسته‌های به‌روزرسانی منتشر کرده‌اند، اما در زمان گزارش Ubuntu و Red Hat Enterprise Linux هنوز وصله‌ای نداده بودند. نام دقیق مدل Claude و جزئیات تأیید مستقل یافته‌ها در گزارش نیامده است. بنابراین، ادعای کشف و ساخت حمله به Anthropic نسبت داده می‌شود، نه به یک بررسی مستقل.
مدیران سرور چه کاری انجام دهند؟
برای مدیران سرور، نکتهٔ عملی این است که ابتدا مشخص کنند آیا سیستم به ترافیک Multipath TCP گوش می‌دهد و کدام نسخهٔ کرنل را اجرا می‌کند. اگر توزیع‌شان وصله داده، باید بستهٔ سازگار را نصب کنند؛ اگر هنوز وصله‌ای در دسترس نیست، وضعیت انتشار به‌روزرسانی را پیگیری کنند و تنظیمات اتصال این پروتکل را زیر نظر داشته باشند. گزارش دربارهٔ راه‌حل موقت مشخصی جز بررسی تنظیمات و نصب وصله‌های موجود توضیح نمی‌دهد.
چرا مهم است
مدیران سرورهایی که به ترافیک Multipath TCP گوش می‌دهند باید نسخهٔ کرنل و وصلهٔ توزیع خود را بررسی کنند؛ این نقص، طبق گزارش، می‌تواند بدون رمز عبور به دسترسی روت برسد. برای کاربران عادی، خطر مستقیم به این بستگی دارد که خدماتی که استفاده می‌کنند روی سرور آسیب‌پذیر اجرا شوند؛ گزارش نمی‌گوید کدام سرویس‌های مشخص در معرض خطرند.
