快科技 11 月 2 日消息，Anthropic 近日发布的安全研究披露，其内部未发布的 Claude 模型在系统性测试中，发现了一个潜伏在 Linux 内核中长达 11 年的严重漏洞。

该漏洞编号 CVE-2026-98432，CVSS 严重性评分高达 9.8 分，属于远程代码执行级别的最高危漏洞。

漏洞的根源是 IPv4 TCP 握手中的释放后使用（UAF）缺陷。代码于 2015 年 10 月提交，随 Linux 4.4 内核引入，在处理 TCP 连接重传时，一个 CPU 可能读取另一个 CPU 已经释放的内存。

攻击者无需密码、无需任何用户交互，仅通过网络流量即可触发，进而实现远程 Root 权限执行。内核 CVE 团队将其定性为网络可达、无需特权、无需交互的严重漏洞。

更令人警惕的是 AI 在其中的角色。Anthropic 的 Claude 模型不仅发现了漏洞，还生成了可用的两阶段利用程序。第一阶段耗时约 48 分钟，破解内核地址随机化保护；第二阶段仅用 5 分钟，便以 Root 权限执行任意命令。整个攻击过程约 53 分钟，且利用失败不会导致目标崩溃，攻击者可以反复尝试。

上游修复已于 10 月 15 日完成，修复版本覆盖 5.10.272、6.1.190、6.12.113、6.18.56、7.2.10 及 7.3-rc7。Debian、Red Hat、Amazon Linux 等发行版已陆续发布补丁。

但 Ubuntu 的情况截然不同：截至 11 月 1 日，Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS 及 26.10 仍被标记为受影响，修复程序尚在开发中。

对于运行对外服务的 Ubuntu 管理员，风险窗口仍在敞开。Go 1.24 及更高版本在 Linux 上默认启用 Multipath TCP，可能扩大该漏洞的暴露面，但禁用 MPTCP 只能降低风险，无法消除内核层面的缺陷。

Anthropic 表示该利用代码未公开发布，但这次事件已经清晰展示了一个趋势：AI 不再只是写代码的工具，它同样可以成为拆解系统防线的武器。

【本文结束】如需转载请务必注明出处：快科技

责任编辑：红茶