Celah Keamanan Kernel Linux CVE-2026-98432: Cek Server

Celah keamanan kernel Linux CVE-2026-98432 adalah bug use-after-free di proses jabat tangan (handshake) TCP IPv4 yang bisa dipicu penyerang dari internet tanpa login. Kernel 4.4 ke atas yang belum ditambal ikut terdampak. Pemilik website atau aplikasi di VPS atau cloud Linux perlu memeriksa distro, versi kernel, dan status patch servernya.

Red Hat menerbitkan bulletin RHSB-2026-016 pada 30 Oktober 2026 dengan rating Critical. Pada tanggal yang sama, tracker Ubuntu masih menandai rilis LTS-nya rentan, sementara Debian sudah merilis kernel yang ditambal. Jadi langkah yang tepat berbeda untuk setiap server.

Panduan ini ditujukan untuk pemilik bisnis, sekolah, dan travel umrah yang website atau aplikasinya berjalan di server Linux, serta developer yang mengelolanya. Istilah teknis dijelaskan seperlunya, lalu ditutup dengan langkah praktis.

Apa Itu Celah Keamanan Kernel Linux CVE-2026-98432?

Singkatnya, kernel Linux bisa membaca memori yang sudah dibebaskan ketika menangani permintaan koneksi TCP yang datang hampir bersamaan. Kondisi saling berebut ini disebut race condition, dan membaca memori yang sudah dilepas disebut use-after-free.

Menurut Debian Security Tracker dan BleepingComputer (30 Oktober 2026), masalahnya ada di fungsi tcp_v4_syn_recv_sock(). Saat koneksi baru diserahkan ke socket anak, opsi IP yang tersimpan (ireq_opt) dipindahkan tanpa disalin. Bila paket SYN yang dikirim ulang tiba di saat yang sama, kernel bisa membaca data yang sudah dibebaskan ketika menyusun balasan SYN-ACK. Perbaikannya membuat memori itu baru dilepas setelah semua pembaca selesai, memakai kfree_rcu() (Atlasum, 31 Oktober 2026).

Yang membuat bug ini serius adalah lokasinya. Handshake TCP terjadi pada setiap koneksi ke server, termasuk ke port website (80/443) dan API. Penyerang tidak perlu akun atau interaksi pengguna. Menurut Debian dan Ubuntu, IPv6 tidak terdampak oleh masalah utama ini.

Seberapa Berbahaya bagi Server Bisnis Anda?

Risikonya cukup tinggi untuk ditindaklanjuti sekarang, tetapi bukan berarti semua server otomatis bisa diambil alih. Penilaian para vendor juga belum seragam.

• Skor CVSS: CNA kernel Linux memberi CVSS 3.1 sebesar 9,8 (Critical). Halaman CVE Red Hat kini mencantumkan skor yang sama, dengan catatan skor itu masih bersifat awal (preliminary).
• Penilaian yang berubah: BleepingComputer (30 Oktober 2026) mencatat Red Hat sempat memberi skor 5,9 dan menganggap dampaknya terutama denial of service (server crash) karena eksploitasinya rumit. Red Hat kemudian menaikkannya ke Critical karena bug bisa dijangkau dari jaringan tanpa autentikasi pada konfigurasi bawaan. Oracle, Amazon, dan SUSE menilainya Important, sedangkan Ubuntu memberi prioritas High (Atlasum, 31 Oktober 2026).
• Klaim exploit: Menurut laporan Anthropic yang dikutip BleepingComputer, model Claude yang belum dirilis berhasil membuat exploit yang menjalankan perintah sebagai root pada server lab yang memiliki listener MPTCP. Ini klaim uji lab, dan exploitnya tidak dipublikasikan.
• Eksploitasi nyata: BleepingComputer menulis belum ada laporan terkonfirmasi tentang eksploitasi di lapangan. Saat dicek pada 1 November 2026, CVE ini belum tercantum di katalog Known Exploited Vulnerabilities (KEV) milik CISA.

Dampak minimal yang diakui semua pihak adalah server bisa crash dari jarak jauh. Bagi toko online, API aplikasi, atau portal pendaftaran, crash berarti layanan berhenti. Dampak terburuknya, eksekusi kode dari jarak jauh, sudah diklaim berhasil di lab. Karena itu, sikap yang masuk akal adalah menambal secepat mungkin, bukan menunggu kepastian.

Distro Mana yang Sudah Punya Patch?

Per 30-31 Oktober 2026, Debian, SUSE, Oracle, dan Amazon Linux sudah merilis perbaikan untuk sebagian atau seluruh versinya, sedangkan Ubuntu dan RHEL belum. Status ini cepat berubah, jadi selalu cocokkan dengan tracker resmi distro Anda.

• Kernel upstream: sudah ditambal di versi 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, dan 7.3 (Atlasum, 31 Oktober 2026).
• Debian: sudah ditambal di bookworm (Debian 12) versi 6.1.190-1 dan trixie (Debian 13) versi 6.12.113-1, menurut Debian Security Tracker.
• Ubuntu: tracker Ubuntu (diperbarui 30 Oktober 2026) menandai 22.04, 24.04, 26.04, dan 26.10 "Vulnerable, work in progress", termasuk kernel cloud linux-aws, linux-azure, linux-gcp, dan linux-oracle. Rilis 16.04, 18.04, dan 20.04 juga berstatus Vulnerable.
• Red Hat dan turunannya: bulletin RHSB-2026-016 menyebut RHEL 8, 9, 10 dan OpenShift terdampak, dengan perbaikan yang sedang dipercepat. RHEL 7 tidak terdampak karena kernelnya tidak memuat kode yang rentan (BleepingComputer). Rocky Linux 8-10 juga terdampak, sedangkan AlmaLinux sudah menyiapkan kernel perbaikan di kanal testing (Atlasum).
• SUSE, Oracle, Amazon Linux: perbaikan tersedia untuk sebagian versi, misalnya SLES 16.0, kernel UEK Oracle Linux, serta Amazon Linux 2 dan 2023 (Atlasum, 31 Oktober 2026).

Cara Mengecek Server Anda Langkah demi Langkah

Mulailah dari pertanyaan paling dasar: di mana aplikasi Anda berjalan dan siapa yang bertanggung jawab atas kernelnya. Setelah itu, cocokkan versi kernel dengan tracker distro.

1. Kenali jenis server. Bila website Anda di shared hosting atau layanan managed, kernel diurus penyedia. Kirim pertanyaan tertulis: "Apakah kernel server kami sudah ditambal untuk CVE-2026-98432?" Bila Anda menyewa VPS atau cloud sendiri, tanggung jawab update ada di tim Anda atau vendor pengelola.
2. Cek distro dan versi kernel. Login lewat SSH lalu jalankan:

   cat /etc/os-release
   uname -r

   Perintah pertama menunjukkan nama dan versi distro, perintah kedua menunjukkan kernel yang sedang berjalan. Cocokkan hasilnya dengan tracker Ubuntu, Debian, atau Red Hat di bagian Referensi.
3. Siapkan cadangan. Buat snapshot VPS atau backup database sebelum mengganti kernel, karena kernel yang gagal boot bisa membuat server tidak bisa diakses. Perbedaan fungsi backup dan perlindungan lain dibahas di artikel SSL dan backup website perusahaan.
4. Bila patch sudah ada, update lalu reboot. Di Debian, SUSE, Amazon Linux, atau Oracle Linux, pasang paket kernel terbaru lewat package manager. Kernel baru tidak aktif sebelum server di-reboot, jadi jadwalkan jendela maintenance singkat dan beri tahu pengguna. Setelah reboot, jalankan lagi uname -r untuk memastikan versinya sudah berubah.
5. Prioritaskan server yang terbuka ke internet. Urutan yang masuk akal: server website, API aplikasi mobile, portal PPDB atau SPMB, sistem data jamaah, lalu server internal yang hanya bisa diakses dari jaringan kantor.

Pola kerjanya sama dengan celah di level aplikasi: cek versi, tambal, lalu verifikasi. Bedanya, celah kernel tidak selesai dengan update framework seperti pada celah Node.js Node2Shell atau celah Laravel dan Next.js, karena yang diganti adalah sistem operasi servernya.

Belum Ada Patch? Lakukan Mitigasi Sementara

Bila distro Anda belum merilis kernel perbaikan, kurangi paparan server sambil menunggu. Langkah berikut hanya penahan sementara, karena Red Hat menegaskan pembaruan kernel adalah satu-satunya solusi lengkap.

1. Batasi akses port

Tutup port yang tidak perlu terbuka ke publik, misalnya SSH, database, dan panel admin. Gunakan firewall server atau security group di dashboard cloud agar port tersebut hanya menerima koneksi dari IP kantor atau VPN. Port website (80/443) memang harus terbuka, sehingga langkah berikutnya tetap diperlukan.

2. Aturan nftables untuk paket berisi IP options

Bulletin RHSB-2026-016 memberi aturan nftables yang membuang paket TCP IPv4 yang membawa IP options. Simpan sebagai cve-2026-98432.nft:

table inet cve_2026_98432 {
    chain input {
        type filter hook input priority -310; policy accept;
        ip protocol tcp ip hdrlength > 5 counter drop
    }
}

Lalu periksa dan terapkan:

sudo nft --check --file cve-2026-98432.nft
sudo nft --file cve-2026-98432.nft
sudo nft list table inet cve_2026_98432

Perhatikan beberapa catatan. Red Hat menyebut aturan ini hanya mengurangi paparan dan bisa mengganggu aplikasi yang bergantung pada IP options, jadi uji dulu di server non-produksi. Aturan yang dimuat dengan cara ini hilang setelah reboot kecuali disimpan ke konfigurasi nftables. Aturan juga terpasang di hook input, sehingga tidak menyaring trafik yang diteruskan (forward), misalnya ke container di jaringan bridge (Atlasum). Setelah kernel diperbarui, hapus dengan sudo nft delete table inet cve_2026_98432.

3. Matikan MPTCP bila tidak dipakai

MPTCP (Multipath TCP) memungkinkan satu koneksi memakai beberapa jalur jaringan. Exploit lab yang dilaporkan Anthropic membutuhkan listener MPTCP, jadi mematikannya menutup satu jalur serangan yang sudah diketahui. Namun BleepingComputer dan tim keamanan Go menegaskan bug ini juga bisa dijangkau lewat TCP biasa, sehingga mematikan MPTCP saja tidak cukup.

ss -Mlnp                  # daftar listener MPTCP, kosong berarti tidak ada
sysctl net.mptcp.enabled  # 1 berarti aplikasi boleh membuka MPTCP
echo 'net.mptcp.enabled = 0' | sudo tee /etc/sysctl.d/90-disable-mptcp.conf
sudo sysctl -w net.mptcp.enabled=0

Pengaturan ini berlaku per network namespace, jadi container tetap bisa memakai MPTCP kecuali diatur juga di sana. Listener yang sudah terbuka baru berubah setelah layanannya di-restart (Atlasum, 31 Oktober 2026).

4. Audit layanan berbasis Go

Dokumentasi GODEBUG resmi Go menyebut bahwa sejak Go 1.24, nilai bawaan multipathtcp adalah "2", artinya MPTCP aktif secara default di listener. Layanan Go, misalnya API backend atau tool internal, bisa membuka listener MPTCP tanpa disadari admin. Untuk mematikannya per program, jalankan layanan dengan variabel lingkungan GODEBUG=multipathtcp=0 atau tambahkan blok godebug di go.mod. Anggap ini lapisan tambahan, bukan pengganti patch kernel.

5. Pantau tracker sampai patch keluar

Cek tracker distro Anda secara berkala. Begitu kernel perbaikan tersedia, update, reboot, pastikan uname -r menunjukkan versi baru, lalu hapus aturan nftables sementara.

Bila tim Anda belum punya orang yang rutin mengelola server, Anaverse, software house dan IT consultant di Pekanbaru, Riau, bisa membantu memetakan server, mengecek status patch, dan menyusun jadwal maintenance lewat layanan konsultan IT. Ceritakan kondisi server Anda melalui halaman kontak.

Pertanyaan yang Sering Diajukan

Apakah website di shared hosting ikut terdampak?

Bisa, bila server penyedia memakai kernel Linux yang belum ditambal. Di shared hosting Anda tidak bisa mengganti kernel sendiri. Tanyakan langsung ke penyedia hosting apakah kernel server sudah ditambal untuk CVE-2026-98432, dan minta jawabannya secara tertulis.

Apakah cukup mematikan MPTCP?

Tidak. Mematikan MPTCP menutup jalur yang dipakai exploit lab Anthropic, tetapi bug CVE-2026-98432 ada di jalur TCP IPv4 umum. BleepingComputer (30 Oktober 2026) menegaskan langkah itu saja tidak cukup, jadi kernel tetap harus diperbarui.

Apakah server perlu di-reboot setelah update kernel?

Ya. Paket kernel baru baru dipakai setelah server dinyalakan ulang. Sebelum reboot, server tetap menjalankan kernel lama yang rentan. Pastikan dengan perintah uname -r setelah reboot.

Apakah server saya pasti bisa diretas?

Tidak pasti. Hingga 30 Oktober 2026 belum ada laporan terkonfirmasi tentang eksploitasi di lapangan, dan para vendor masih berbeda pendapat soal tingkat keparahannya. Namun crash jarak jauh diakui sebagai dampak minimal, jadi risikonya cukup tinggi untuk segera ditindaklanjuti.

Referensi

• Red Hat: RHSB-2026-016, Linux kernel IPv4 TCP use-after-free (30 Oktober 2026)
• Red Hat Customer Portal: CVE-2026-98432
• Ubuntu Security: CVE-2026-98432
• Debian Security Tracker: CVE-2026-98432
• BleepingComputer: Critical Linux kernel flaw allows remote root attacks on MPTCP servers (30 Oktober 2026)
• Atlasum: CVE-2026-98432, Linux IPv4 TCP use-after-free (31 Oktober 2026)
• Go: Go, Backwards Compatibility, and GODEBUG (multipathtcp)
• CISA: Known Exploited Vulnerabilities Catalog