Lightning Labs merilis rilis darurat lnd v0.21.6-beta dan backport v0.20.7-beta pada 30 Oktober. Kedua rilis ini menonaktifkan listener Multipath TCP (MPTCP) secara default, memblokir jalur yang telah ditunjukkan untuk mendapatkan akses root jarak jauh melalui LND. Kerentanan mendasarnya, CVE-2026-98432, memengaruhi pemrosesan handshake TCP IPv4 di kernel Linux dan memiliki skor CVSS 9.8.
Pengembang Bitcoin Core dan Lightning, Matt Corallo, menarik perhatian terhadap kerentanan tersebut pada 30 Oktober. Corallo mengkritik respons lambat Ubuntu dan menggambarkan bug tersebut sebagai "vuln Linux paling kritis sepanjang masa." Frontier Red Team dari Anthropic kemudian menunjukkan eksploit root jarak jauh terhadap sistem dengan MPTCP listener yang terbuka.
Peter Todd memperingatkan pada 30 Oktober bahwa operator yang menjalankan LND di Linux dengan port terbuka harus mematikan node Bitcoin Lightning hingga patch kernel atau mitigasi diterapkan. Serangan yang ditunjukkan memerlukan MPTCP listener, yang diaktifkan secara default oleh versi Go 1.24 dan lebih baru. Versi LND terbaru, yang ditulis dalam Go, oleh karena itu menggunakan MPTCP listener untuk port peer, gRPC, dan REST ketika kernel mendukung fitur tersebut.
Lightning Labs menggambarkan rilis ini sebagai tindakan mitigasi, bukan perbaikan lengkap. Lightning Labs menyatakan bahwa kernel yang telah diperbaiki diperlukan untuk menyelesaikan kerentanan mendasar secara menyeluruh. Layanan lain yang berjalan di mesin tersebut tetap terpapar hingga MPTCP dinonaktifkan di seluruh host atau kernel menerima pembaruan. Olaoluwa Osuntokun dan Lightning Labs keduanya merekomendasikan untuk menginstal pembaruan LND.
Peneliti keamanan Marcus Hutchins kemudian melaporkan pemindaian di seluruh internet yang konsisten dengan upaya penyerang mencari sistem yang rentan. Hutchins menemukan sekitar 2,1 juta server yang dapat diakses melalui MPTCP di port 443. International Cyber Digest mempublikasikan temuan ini pada 4 November, menyoroti aktivitas pemindaian dan jadwal patch Ubuntu yang lebih lambat.
Canonical telah menyediakan kernel yang diperbaiki untuk Ubuntu 22.04, 24.04, dan 26.04 melalui saluran opt-in proposed pocket. Namun, kernel yang diperbaiki belum sampai ke saluran pembaruan reguler Ubuntu. Red Hat merilis patch untuk RHEL 8/9/10 pada 1 November. Debian, Amazon Linux, dan distribusi lainnya telah mengeluarkan patch lebih awal.
UmbrelOS 2.0.1 telah menyediakan patch kernel untuk perangkat x86 pada 1 November. UmbrelOS menerapkan mitigasi pemblokiran lalu lintas pada perangkat Raspberry Pi karena kernel yang dipatch belum tersedia. Tidak ada eksploitasi di lapangan yang dikonfirmasi. CISA belum mencantumkan kerentanan ini dalam katalog Known Exploited Vulnerabilities. Anthropic belum mempublikasikan demonstrasi remote root.
Server yang dapat diakses dari internet menghadapi paparan praktis terbesar. Desktop rumah tanpa listener TCP publik, yang dilindungi oleh NAT dan firewall biasa, terpengaruh jauh lebih sedikit. Rilisan LND menghilangkan jalur listener MPTCP yang telah terbukti bagi operator Lightning Linux, tetapi kerentanan yang lebih luas tetap ada hingga operator memasang kernel yang telah diperbaiki.
Node Bitcoin Lightning diminta untuk menonaktifkan MPTCP karena kerentanan kritis pada kernel Linux
FLASH AIBagikan
Ringkasan
Berita bitcoin: Kerentanan kritis pada kernel Linux, CVE-2026-98432, membahayakan node Bitcoin Lightning terhadap akses root jarak jauh. Lightning Labs merilis lnd v0.21.6-beta dan v0.20.7-beta pada 30 Oktober untuk menonaktifkan MPTCP secara default. Peneliti keamanan Marcus Hutchins mengidentifikasi 2,1 juta server yang terbuka menggunakan MPTCP di port 443. Canonical dan Red Hat telah merilis kernel yang diperbaiki, tetapi belum tersedia dalam pembaruan standar. Pengguna diminta untuk memperbarui LND dan menerapkan patch untuk menyelesaikan kerentanan ini.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.