Atualização de segurança do Bitcoin Lightning bloqueia CVE-2026-98432, falha no kernel Linux permanece

LND lançou as versões v0.20.7-beta e v0.21.6-beta em 30 de outubro com os ouvintes MPTCP desativados por padrão. A alteração bloqueia a rota de ataque CVE-2026-98432 demonstrada por meio desses ouvintes, mas não corrige a vulnerabilidade do kernel Linux nem protege outros serviços. Operadores do Lightning que utilizam kernels afetados e não corrigidos permanecem expostos mesmo após atualizar o LND, o software que executa os nodes de pagamento dos operadores. Outro serviço MPTCP exposto na mesma máquina pode manter a rota de ataque demonstrada aberta.

A vulnerabilidade envolve o tratamento de memória use-after-free em conexões TCP IPv4 do Linux e pode permitir que um atacante execute código em um host afetado. O Ubuntu classifica a falha como crítica, com uma pontuação CVSS 3.1 de 9,8. As observações do operador do LND explicam que as versões do Go a partir da 1.24 ativaram por padrão os ouvintes MPTCP do Linux. As observações afirmam que, consequentemente, o LND 0.21.x expôs o MPTCP nas portas de peer, gRPC e REST utilizadas para conexões de node e interfaces de aplicação.

O aviso da equipe de segurança do Go afirma que a exploração demonstrada requer um ouvinte MPTCP exposto, enquanto o defeito subjacente no kernel tem um escopo mais amplo. O aviso indica que ataques semelhantes podem ser possíveis sem ouvintes MPTCP, mas não estabelece uma exploração demonstrada contra sistemas sem esses ouvintes. O Go alerta que desativar o MPTCP separadamente em cada programa é frágil, pois um único ouvinte exposto restante preserva a rota demonstrada. O Go também alerta que configurações explícitas de soquete podem substituir os padrões. Os avisos documentam uma exploração demonstrada no Linux, não evidência de ataques contra nodes LND ou roubo de bitcoin. As correções do Core Lightning relatadas em 6 de novembro abordam vulnerabilidades separadas de canal e comando remoto.

O rastreador Ubuntu, revisado em 9 de novembro após uma atualização em 7 de novembro, ainda marcava o pacote Linux padrão para o Ubuntu 24.04 LTS como vulnerável. O rastreador listava trabalho em andamento para esse pacote na versão 6.8.0-149.149. A entrada do Ubuntu 22.04 LTS também permaneceu vulnerável, com trabalho em andamento em 5.15.0-203.213. O aviso da Canonical de 2 de novembro afirmou que correções estavam disponíveis por meio do repositório -proposed para usuários realizando testes de aceitação do kernel enquanto os testes de qualificação continuavam.

O boletim informativo de progresso de 1 a 7 de novembro da Ubuntu mencionou que algumas versões, incluindo a 24.04, avançaram para -updates. No entanto, o boletim não especificou todas as variantes de kernel. Os operadores devem, portanto, verificar a atualização disponível para o pacote exato do kernel, em vez de confiar exclusivamente no nome da versão da Ubuntu. O rastreador marca o pacote linux padrão da Ubuntu 26.10 como corrigido na versão 7.3.0-10.10. Variantes de kernel de nuvem, hardware-enablement e outras têm entradas individuais no rastreador, portanto, o status de correção de um pacote não estabelece o status de outro pacote.

Os mantenedores do LND recomendam atualizar o LND, desativar o MPTCP no nível do host e instalar um kernel corrigido assim que a distribuição disponibilizar uma. Os mantenedores especificam o comando sudo sysctl -w net.mptcp.enabled=0 e recomendam uma configuração persistente para preservar a configuração. A configuração opera separadamente em cada namespace de rede, portanto, operadores de Docker também devem examinar a configuração de rede do contêiner. Uma alteração apenas no nível do host não substitui essa verificação. Operadores que não conseguirem atualizar o LND imediatamente podem iniciar o binário existente com GODEBUG=multipathtcp=0 para desativar os ouvintes MPTCP padrão do Go. Os mantenedores alertam os operadores para não restaurar esse padrão antes de corrigir o kernel.

A Canonical recomenda usar o comando uname -r para identificar o kernel atualmente em execução. A Canonical exige uma reinicialização após a instalação da atualização de segurança do kernel. Atualizar o LND e instalar um pacote de kernel são etapas separadas, e a correção do sistema operacional só está concluída quando o kernel corrigido estiver em execução.