Stand: 9. November 2026, 12:21 Uhr (MEZ)
Hinweis: Dieser Artikel bezieht sich ausschließlich auf selbst verwaltete Serverprodukte. Für Systeme, die Sie selbst administrieren, sind Sie für das Einspielen von Sicherheitsupdates verantwortlich. Der Artikel gibt den oben genannten Stand wieder und wird nicht regelmäßig aktualisiert.
Am 15. Oktober 2026 wurde eine Sicherheitslücke im Linux-Kernel veröffentlicht, die unter der Kennzeichnung CVE-2026-98432 geführt wird. Betroffen ist der Code des Kernels, der neue IPv4-TCP-Verbindungen aufbaut. Werden erneut gesendete Verbindungsanfragen gleichzeitig verarbeitet, kann der Kernel auf Speicher zugreifen, der bereits freigegeben wurde (Use-after-free). Ein Angreifer kann dies aus der Ferne über speziell präparierte Anfragen auslösen. Die möglichen Folgen reichen von einem Systemabsturz bis zur Übernahme des Systems. IPv6 ist von diesem Fehler nicht betroffen.
Kunden mit Linux-Serversystemen sollten die korrigierten Kernel-Updates einspielen und den Server anschließend neu starten. Für die gängigen Distributionen wie Debian, Ubuntu (22.04 und neuer) und AlmaLinux sind korrigierte Kernel in den regulären Paketquellen verfügbar. Zum Stand dieses Artikels war für Ubuntu 20.04 und älter sowie CentOS Stream noch kein korrigierter Kernel veröffentlicht (siehe unten).
Wichtig bei Plesk: Die automatischen Updates von Plesk reichen für diese Sicherheitslücke nicht aus. Plesk führt standardmäßig keine Kernel-Updates durch. Auch wenn bei Ihnen automatische Plesk-Updates aktiviert sind, müssen Sie den Kernel des Betriebssystems selbst über die Paketverwaltung aktualisieren (siehe „Empfohlene Maßnahmen“) und den Server anschließend neu starten.
Allgemeine Informationen zu dieser Schwachstelle finden Sie zum Beispiel unter folgenden Links:
heise online: Erneut kritischer Bug in Linux TCP/IP aufgedeckt – Updates in Arbeit
The Hacker News: Linux Kernel TCP Flaw With 9.8 CVSS Score Affects Ubuntu, Red Hat and Other Distributions (englisch)
NVD (NIST): CVE-2026-98432 (englisch)
CVE.org: CVE-2026-98432 (englisch)
Wer ist betroffen?
Betroffen sind grundsätzlich Server mit einem Linux-Kernel ab Version 4.4, solange kein korrigierter Kernel installiert ist. Da die Lücke den Kernel selbst betrifft, hängt sie nicht von Ihren Anwendungen oder Ihrer Webserver-Software ab. Auch Plesk oder cPanel & WHM sind nicht die Ursache. Eine Korrektur erhalten Sie über die Aktualisierung des Kernels Ihrer Distribution.
Nicht betroffen sind Windows-Server. Die Verfügbarkeit eines Updates beim Hersteller bedeutet nicht automatisch, dass es bereits auf Ihrem individuellen Server installiert wurde.
Empfohlene Maßnahmen
- Aktuell laufenden Kernel prüfen:
uname -r - Prüfen, ob für Ihre Distribution ein korrigierter Kernel verfügbar ist (siehe Abschnitt „Stand der Aktualisierungen bei den Distributionen“). Ist ein korrigierter Kernel verfügbar, installieren Sie die Updates. Das gilt auch, wenn Sie Plesk mit automatischen Updates einsetzen:
Debian / Ubuntu:
apt updateapt full-upgradeAlmaLinux / CentOS:
dnf upgrade - Server neu starten, damit der neue Kernel geladen wird. Ohne Neustart (oder ein vom Hersteller bereitgestelltes Live-Patch-Verfahren) bleibt der alte, verwundbare Kernel aktiv.
reboot - Nach dem Neustart prüfen, ob mit
uname -rder aktualisierte Kernel läuft und im Changelog des Pakets die CVE-Nummer oder der Hinweis auf den Fix aufgeführt ist. - Wenn Ihre Distribution noch keinen korrigierten Kernel anbietet: Informieren Sie sich bei Ihrem Distributionshersteller über den aktuellen Stand und installieren Sie den Kernel, sobald er verfügbar ist.
Eine vollständige Übergangslösung gibt es nach aktuellem Kenntnisstand nicht. Das Abschalten von Multipath TCP (MPTCP) allein genügt nicht, da die Lücke nicht auf MPTCP beschränkt ist. Als zeitlich begrenzte Teilmaßnahme für Systeme ohne korrigierten Kernel dokumentieren AlmaLinux und Ubuntu eine nftables-Firewallregel, die eingehende IPv4-TCP-Pakete mit IP-Optionen verwirft (Details finden Sie bei den Distributionen weiter unten). Sie ersetzt das Kernel-Update nicht, und Verbindungen, die IP-Optionen benötigen, funktionieren dann nicht mehr. Wenn Sie bis zur Installation eines Updates kein Risiko eingehen möchten, können Sie den Zugriff auf Ihren Server zusätzlich per Firewall auf vertrauenswürdige IP-Adressen beschränken oder den Server vorübergehend vom Internet isolieren.
Unabhängig von dieser konkreten Sicherheitslücke sollten Sie regelmäßig Aktualisierungen für Ihre Server einspielen und diesen Vorgang idealerweise automatisieren. Beachten Sie dabei, dass automatische Plesk-Updates nicht automatisch auch den Kernel des Betriebssystems abdecken:
https://www.hosteurope.de/faq/server/server-allgemeines/selbst-installation-sicherheitsupdates
https://www.hosteurope.de/faq/server/plesk/plesk-updates-linux
Stand der Aktualisierungen bei den Distributionen
Der Stand der Korrekturen unterscheidet sich je nach Distribution und Kernel-Variante. Die folgende Übersicht gibt den Stand vom 9. November 2026, 12:21 Uhr (MEZ) wieder und wird nicht fortlaufend aktualisiert. Prüfen Sie zusätzlich die Angaben des Herstellers für die von Ihnen eingesetzte Version.
Grün Korrigierter Kernel verfügbar Orange Zum Stand des Artikels kein korrigierter Kernel in den regulären Paketquellen Grau Nicht betroffen, kein Update erforderlich
| Betriebssystem | Status | Korrigierter Kernel (Paketstand) |
|---|---|---|
| Ubuntu 26.04 LTS | Korrigiert (seit 6. November 2026 in den regulären Paketquellen) | linux 7.0.0-43.43 |
| Ubuntu 24.04 LTS | Korrigiert (seit 6. November 2026 in den regulären Paketquellen) | linux 6.8.0-149.149 |
| Ubuntu 22.04 LTS | Korrigiert (seit 5. November 2026 in den regulären Paketquellen) | linux 5.15.0-203.213 |
| Ubuntu 20.04 LTS, 18.04 LTS, 16.04 LTS | Verwundbar; Korrektur ist in Arbeit, aber noch nicht veröffentlicht | Kein korrigierter Kernel veröffentlicht (bei 16.04 ist 4.4.0-293.327 vorbereitet, aber noch nicht freigegeben). Updates erscheinen für diese Releases nur über Ubuntu Pro (ESM, bei 16.04 mit Legacy-Add-on). Ohne Ubuntu Pro ist derzeit kein Fix verfügbar. |
| Ubuntu 14.04 LTS | Paket linux nicht betroffen | Das Paket linux-lts-xenial ist als verwundbar geführt; Updates dafür gibt es nur über Ubuntu Pro mit Legacy-Add-on |
| Debian 13 (trixie) | Korrigiert | 6.12.116-1 (Security-Repository; korrigiert seit 6.12.113-1) |
| Debian 12 (bookworm) | Korrigiert | 6.1.190-1 (Security-Repository); bei Verwendung des Pakets linux-6.12: 6.12.115-2~deb12u1 |
| Debian 11 (bullseye) | Im Debian Security Tracker nicht aufgeführt | Reguläre Updates nicht mehr verfügbar (End of Life) |
| Debian forky (testing) und sid (unstable) | Korrigiert | 7.2.15-1 (forky), 7.3.3-1 (sid) |
| AlmaLinux 10 | Korrigiert (seit 2. November 2026 in den regulären Paketquellen) | kernel-6.12.0-211.72.1.el10_2 |
| AlmaLinux 9 | Korrigiert (seit 2. November 2026 in den regulären Paketquellen) | kernel-5.14.0-687.64.1.el9_8 |
| AlmaLinux 8 | Korrigiert (seit 2. November 2026 in den regulären Paketquellen) | kernel-4.18.0-553.182.1.el8_10 |
| CentOS Stream 9, 10 | Keine Herstellerangabe zu einem veröffentlichten Kernel gefunden | Der Fix wurde im Quellcode von CentOS Stream 9 eingepflegt; einen veröffentlichten Kernel konnten wir nicht bestätigen |
| CentOS Linux 7 | Voraussichtlich nicht betroffen (älterer Kernel als 4.4) | Nicht erforderlich; Betriebssystem ist End of Life |
| Windows Server | Nicht betroffen | Nicht erforderlich |
Details je Distribution:
- Ubuntu: Für Ubuntu 22.04, 24.04 und 26.04 sind die korrigierten Kernel in den regulären Paketquellen (
-updates) veröffentlicht: 5.15.0-203.213 (22.04, seit 5. November 2026), 6.8.0-149.149 (24.04) und 7.0.0-43.43 (26.04), beide seit 6. November 2026. Das zeigt die Veröffentlichungshistorie des Paketslinuxauf Launchpad. Die Ubuntu-Seiten (CVE-Tracker und Blog-Artikel) können vom tatsächlichen Stand der Paketquellen abweichen, da sie zeitverzögert aktualisiert werden. Der CVE-Tracker führt diese Releases zum Beispiel weiterhin als „Vulnerable, work in progress“. Maßgeblich ist, dass der installierte Kernel mindestens die oben genannte Version hat. Installieren Sie das Update mitapt updateundapt full-upgradeund starten Sie den Server anschließend neu. Die Änderung am Kernel-Paket wird nur mit einem Neustart wirksam. Auch für einzelne andere Kernel-Varianten, etwa die HWE-Kernel (zum Beispiel 24.04 mit Kernel 7.0 oder 22.04 mit Kernel 6.8), war der Status laut Tracker teilweise noch in Arbeit. Prüfen Sie in diesem Fall das genaue Kernel-Paket auf dem CVE-Tracker.Ubuntu 20.04, 18.04 und 16.04: Für diese Releases war zum Stand des Artikels kein korrigierter Kernel veröffentlicht. Laut Ubuntu-CVE-Tracker (Stand 7. November 2026) ist die Korrektur in Arbeit; bei 16.04 ist die Version 4.4.0-293.327 vorbereitet, aber noch nicht freigegeben. Laut Ubuntu wird die Korrektur für diese Releases nachgeliefert, einen Termin nennt Ubuntu nicht. Updates erscheinen nur über Ubuntu Pro (Expanded Security Maintenance, ESM); bei Ubuntu 16.04 und 14.04 wird zusätzlich das Legacy-Add-on benötigt. Systeme ohne Ubuntu Pro erhalten derzeit keinen Fix über
apt. Für sie ist die unten genannte nftables-Regel die einzige Übergangsmaßnahme, die das Risiko verringert, die Ausnutzung aber nicht vollständig verhindert. Planen Sie solche Systeme auf ein unterstütztes Ubuntu-Release zu migrieren. Auch viele Cloud- und Spezial-Kernel dieser Releases (zum Beispiel AWS, Azure, GCP, KVM) sind noch als verwundbar geführt. Sobald Sie Ubuntu Pro eingerichtet haben, prüft der folgende Befehl, ob für Ihr System ein Fix verfügbar ist, und bietet die Installation an:pro fix CVE-2026-98432Ubuntu hält Sicherheitsupdates für die einzig angemessene Maßnahme. Für Systeme ohne Fix nennt das Ubuntu Security Team eine Firewallregel (nftables) gegen IPv4-TCP-Pakete mit IP-Optionen im Abschnitt „Mitigation“ des CVE-Trackers; sie verringert das Risiko, verhindert die Ausnutzung aber nicht vollständig.
- Debian: Für Debian 12 (bookworm) ist Kernel 6.1.190-1 als korrigiert aufgeführt (DLA-4841-1), für Nutzer des Pakets
linux-6.12unter bookworm 6.12.113-1~deb12u1 (DLA-4850-1); aktuell im Security-Repository ist 6.12.115-2~deb12u1. Für Debian 13 (trixie) ist die Lücke seit 6.12.113-1 korrigiert (DSA-6568-1); aktuell im Security-Repository ist 6.12.116-1. Weitere Informationen finden Sie im Debian Security Tracker. - AlmaLinux: AlmaLinux 8, 9 und 10 waren betroffen. Seit dem 2. November 2026 ist der korrigierte Kernel für alle drei Versionen in den regulären Paketquellen verfügbar. Hinweise des Herstellers finden Sie im AlmaLinux-Blog zu CVE-2026-98432.
- CentOS: Zu CentOS Stream haben wir keine Herstellerangabe zu einem veröffentlichten Kernel für diese Lücke gefunden. Der Fix wurde zwar im Quellcode von CentOS Stream 9 eingepflegt, das ist aber nicht gleichbedeutend mit einem installierbaren Kernel-Paket. Prüfen Sie die Verfügbarkeit und den Changelog des Kernel-Pakets in Ihren aktivierten Repositories, bevor Sie von einer erfolgten Aktualisierung ausgehen. Systeme, die keine regulären Updates mehr erhalten (zum Beispiel CentOS Linux 7 und 8 sowie CentOS Stream 8), sollten Sie auf ein unterstütztes Release migrieren.
- Plesk: Der Kernel wird nicht über Plesk aktualisiert. Plesk führt standardmäßig keine Kernel-Updates durch, die automatischen Plesk-Updates genügen für diese Sicherheitslücke daher nicht. Aktualisieren Sie den Kernel über die Paketverwaltung des Betriebssystems und starten Sie den Server anschließend neu.
- cPanel & WHM: Der Kernel wird nicht über cPanel aktualisiert, sondern über die Paketverwaltung des Betriebssystems.
- Windows: Windows Server ist von dieser Linux-Kernel-Schwachstelle nicht betroffen.
Bei selbst administrierten Systemen sind Sie grundsätzlich selbst für die Aktualisierung verantwortlich. Wenn Sie das Update nicht selbst durchführen können oder möchten, reichen Sie gerne über das KIS einen Auftrag ein. Wir spielen die Updates dann zum Preis von 25 Euro für Sie ein: https://www.hosteurope.de/faq/server/server-allgemeines/service-standard-patches
Last updated: 9 November 2026, 12:21 (CET)
Note: This article applies only to self-managed server products. For systems you administer yourself, you are responsible for installing security updates. The article reflects the status stated above and will not be updated regularly.
On 15 October 2026, a security vulnerability in the Linux kernel was published and is tracked as CVE-2026-98432. It affects the kernel code that sets up new IPv4 TCP connections. If retransmitted connection requests are processed concurrently, the kernel can access memory that has already been freed (use-after-free). An attacker can trigger this remotely using specially crafted requests. Possible consequences range from a system crash to a takeover of the system. IPv6 is not affected by this bug.
Customers with Linux server systems should install the fixed kernel updates and then reboot the server. Fixed kernels are available in the regular package sources for common distributions such as Debian, Ubuntu (22.04 and newer) and AlmaLinux. At the time of this article, no fixed kernel had been released for Ubuntu 20.04 and older or for CentOS Stream (see below).
Important for Plesk: Plesk's automatic updates are not sufficient for this vulnerability. By default, Plesk does not perform kernel updates. Even if automatic Plesk updates are enabled on your server, you must update the operating system kernel yourself using the package manager (see "Recommended actions") and then reboot the server.
General information on this vulnerability can be found, for example, at the following links:
heise online: Erneut kritischer Bug in Linux TCP/IP aufgedeckt – Updates in Arbeit (German)
The Hacker News: Linux Kernel TCP Flaw With 9.8 CVSS Score Affects Ubuntu, Red Hat and Other Distributions
NVD (NIST): CVE-2026-98432
CVE.org: CVE-2026-98432
Who is affected?
In principle, servers running a Linux kernel from version 4.4 onward are affected as long as no fixed kernel has been installed. Because the vulnerability is in the kernel itself, it does not depend on your applications or web server software, and neither Plesk nor cPanel & WHM is the cause. You receive the fix by updating your distribution's kernel.
Windows servers are not affected. An update being available from a vendor does not mean that it has already been installed on your individual server.
Recommended actions
- Check your currently running kernel:
uname -r - Check whether a fixed kernel is available for your distribution (see the section "Update status by distribution"). If a fixed kernel is available, install the updates. This also applies if you use Plesk with automatic updates:
Debian / Ubuntu:
apt updateapt full-upgradeAlmaLinux / CentOS:
dnf upgrade - Reboot the server so that the new kernel is loaded. Without a reboot (or a vendor-provided live-patching mechanism), the old, vulnerable kernel remains active.
reboot - Verify after the reboot that
uname -rshows the updated kernel and that the package changelog lists the CVE number or the fix. - If your distribution does not yet offer a fixed kernel: Check your distribution vendor's information for the current status and install the kernel as soon as it becomes available.
As far as is currently known, there is no complete workaround. Disabling Multipath TCP (MPTCP) alone is not sufficient, because the vulnerability is not limited to MPTCP. As a temporary, partial measure for systems without a fixed kernel, AlmaLinux and Ubuntu document an nftables firewall rule that drops incoming IPv4 TCP packets carrying IP options (see the distribution details below). It does not replace the kernel update, and connections that depend on IP options will no longer work. If you do not want to take any risks until the update has been installed, you can additionally restrict access to your server to trusted IP addresses using a firewall or temporarily isolate the server from the internet.
Regardless of this specific vulnerability, you should install updates for your servers regularly and, ideally, automate this process. Note that automatic Plesk updates do not automatically cover the operating system kernel:
https://www.hosteurope.de/faq/server/server-allgemeines/selbst-installation-sicherheitsupdates
https://www.hosteurope.de/faq/server/plesk/plesk-updates-linux
Update status by distribution
The status of fixes differs by distribution and kernel variant. The following overview reflects the status as of 9 November 2026, 12:21 (CET) and will not be updated continuously. Please also check the vendor information for the version you use.
Green Fixed kernel available Orange No fixed kernel in the regular package sources at the time of this article Grey Not affected, no update required
| Operating system | Status | Fixed kernel (package version) |
|---|---|---|
| Ubuntu 26.04 LTS | Fixed (in the regular package sources since 6 November 2026) | linux 7.0.0-43.43 |
| Ubuntu 24.04 LTS | Fixed (in the regular package sources since 6 November 2026) | linux 6.8.0-149.149 |
| Ubuntu 22.04 LTS | Fixed (in the regular package sources since 5 November 2026) | linux 5.15.0-203.213 |
| Ubuntu 20.04 LTS, 18.04 LTS, 16.04 LTS | Vulnerable; fix is in progress but not yet released | No fixed kernel released (for 16.04, 4.4.0-293.327 is prepared but not yet released). Updates for these releases will only be available via Ubuntu Pro (ESM, with the Legacy add-on for 16.04). Without Ubuntu Pro, no fix is currently available. |
| Ubuntu 14.04 LTS | Package linux not affected | The package linux-lts-xenial is listed as vulnerable; updates for it are only available via Ubuntu Pro with the Legacy add-on |
| Debian 13 (trixie) | Fixed | 6.12.116-1 (security repository; fixed since 6.12.113-1) |
| Debian 12 (bookworm) | Fixed | 6.1.190-1 (security repository); if you use the linux-6.12 package: 6.12.115-2~deb12u1 |
| Debian 11 (bullseye) | Not listed in the Debian Security Tracker | Regular updates no longer available (end of life) |
| Debian forky (testing) and sid (unstable) | Fixed | 7.2.15-1 (forky), 7.3.3-1 (sid) |
| AlmaLinux 10 | Fixed (in the regular package sources since 2 November 2026) | kernel-6.12.0-211.72.1.el10_2 |
| AlmaLinux 9 | Fixed (in the regular package sources since 2 November 2026) | kernel-5.14.0-687.64.1.el9_8 |
| AlmaLinux 8 | Fixed (in the regular package sources since 2 November 2026) | kernel-4.18.0-553.182.1.el8_10 |
| CentOS Stream 9, 10 | No vendor statement on a released kernel found | The fix has been merged into the CentOS Stream 9 source code; we could not confirm a released kernel |
| CentOS Linux 7 | Presumably not affected (kernel older than 4.4) | Not required; operating system is end of life |
| Windows Server | Not affected | Not required |
Details by distribution:
- Ubuntu: For Ubuntu 22.04, 24.04 and 26.04, the fixed kernels have been published in the regular package sources (
-updates): 5.15.0-203.213 (22.04, since 5 November 2026), 6.8.0-149.149 (24.04) and 7.0.0-43.43 (26.04), both since 6 November 2026. This is shown in the publishing history of thelinuxpackage on Launchpad. The Ubuntu pages (CVE tracker and blog post) may differ from the actual state of the package sources because they are updated with a delay. For example, the CVE tracker still lists these releases as "Vulnerable, work in progress". What matters is that the installed kernel is at least the version listed above. Install the update withapt updateandapt full-upgradeand then reboot the server. The kernel change only takes effect after a reboot. For some other kernel variants, such as the HWE kernels (for example 24.04 with kernel 7.0 or 22.04 with kernel 6.8), the status on the tracker was partly still in progress. In that case, check the exact kernel package on the CVE tracker.Ubuntu 20.04, 18.04 and 16.04: No fixed kernel had been released for these releases at the time of this article. According to the Ubuntu CVE tracker (as of 7 November 2026), the fix is in progress; for 16.04, version 4.4.0-293.327 is prepared but not yet released. Ubuntu states that the fix for these releases will follow but does not give a date. Updates will only be available via Ubuntu Pro (Expanded Security Maintenance, ESM); for Ubuntu 16.04 and 14.04, the Legacy add-on is also required. Systems without Ubuntu Pro currently receive no fix via
apt. For them, the nftables rule described below is the only interim measure; it reduces the risk but does not fully prevent exploitation. Plan to migrate such systems to a supported Ubuntu release. Many cloud and specialized kernels of these releases (for example AWS, Azure, GCP, KVM) are also still listed as vulnerable. Once you have set up Ubuntu Pro, the following command checks whether a fix is available for your system and offers to install it:pro fix CVE-2026-98432Ubuntu considers security updates the only appropriate mitigation. For systems without a fix, the Ubuntu Security Team names a firewall rule (nftables) against IPv4 TCP packets with IP options in the "Mitigation" section of the CVE tracker; it reduces the risk but does not fully prevent exploitation.
- Debian: For Debian 12 (bookworm), kernel 6.1.190-1 is listed as fixed (DLA-4841-1); for users of the
linux-6.12package on bookworm, 6.12.113-1~deb12u1 (DLA-4850-1); the current version in the security repository is 6.12.115-2~deb12u1. For Debian 13 (trixie), the vulnerability has been fixed since 6.12.113-1 (DSA-6568-1); the current version in the security repository is 6.12.116-1. For more information, see the Debian Security Tracker. - AlmaLinux: AlmaLinux 8, 9 and 10 were affected. Since 2 November 2026, the fixed kernel has been available in the regular package sources for all three versions. Vendor information is available in the AlmaLinux blog post on CVE-2026-98432.
- CentOS: We have not found a vendor statement on a released kernel for this vulnerability for CentOS Stream. The fix has been merged into the CentOS Stream 9 source code, but this does not mean an installable kernel package is available. Check the availability and changelog of the kernel package in your enabled repositories before assuming the update has been applied. Systems that no longer receive regular updates (for example CentOS Linux 7 and 8 and CentOS Stream 8) should be migrated to a supported release.
- Plesk: The kernel is not updated through Plesk. By default, Plesk does not perform kernel updates, so automatic Plesk updates are not sufficient for this vulnerability. Update the kernel through the operating system's package management and then reboot the server.
- cPanel & WHM: The kernel is not updated through cPanel, but through the operating system's package management.
- Windows: Windows Server is not affected by this Linux kernel vulnerability.
For self-managed systems, you are responsible for keeping them updated. If you cannot or do not want to install the update yourself, please submit a request through the KIS. We will then install the updates for you for a fee of EUR 25: https://www.hosteurope.de/faq/server/server-allgemeines/service-standard-patches