ИИ от Anthropic обнаружил уязвимость в Linux, позволяющую удалённому злоумышленнику получить полный контроль над сервером через интернет без пароля. Linux работает за 63% сайтов, где известна операционная система, и эта ошибка скрывалась в коде около 10 лет. Уровень серьёзности — 9,8 из 10; Red Hat классифицировал её как критическую. В тесте Anthropic атака требует около 48 минут подготовки и ещё 5 минут для полного захвата машины. Исправление для Linux существует с октября, но до вчера Ubuntu по-прежнему указывала все версии как уязвимые. Сейчас слабое звено — это те, кто откладывает обновление и перезагрузку сервера. Уязвимость связана с тем, как Linux обрабатывает новые сетевые подключения — самый распространённый тип подключения. Атака, продемонстрированная Anthropic, использует функцию MPTCP, позволяющую одному соединению использовать несколько сетей одновременно. Программы на Go, языке программирования, уже включают эту функцию по умолчанию начиная с версии 1.24, когда система её поддерживает. Те, кто отвечает за серверы: обновите ядро сразу после выпуска обновления вашей системой и перезагрузитесь. Отключение MPTCP поможет временно, но лишь снизит риск, поскольку уязвимость остаётся в обычном соединении. Anthropic не публиковала детали атаки, и до вчера никто не сообщал о реальном использовании этой уязвимости — поэтому те, кто обновится сегодня, окажутся впереди. Представьте, сколько ещё таких уязвимостей скрыто где-то вокруг.