Claude 53分钟攻破Linux内核：11年UAF漏洞可远程拿Root

Anthropic 近日公布的一项安全研究显示，AI 已经不只是能揪出漏洞，还能把可用的攻击代码写出来。按其披露的说法，内部一个尚未发布的 Claude 模型在系统性测试中挖出了一枚藏在 Linux 内核里长达 11 年的高危漏洞，并且为它生成了可用的两阶段远程利用程序。

漏洞本体：IPv4 TCP 握手里的 11 年 UAF

CVE-2026-98432，这是该漏洞的编号；Linux 内核 CVE 团队给它的 CVSS 3.1 评分高达 9.8（Critical）。

从技术层面看，问题落在 IPv4 TCP 握手代码tcp_v4_syn_recv_sock() 与 ip_options_build()之间，由竞态条件引发，属于释放后使用（UAF）缺陷：TCP 连接完成握手时，主 socket 把客户端 SYN 包中保存的 IPv4 选项直接交给子 socket，并不做拷贝；同一时刻，另一个 CPU 可能正在为同一连接处理重传的 SYN，并读取这些选项。一旦子 socket 先被释放，这些选项就已被kfree()掉，而 SYNACK 代码仍在读取它们——典型的跨 CPU 竞态 UAF。

这段问题代码提交于 2015 年 10 月，随 Linux 4.4 内核引入。换句话说，从 4.4 起，直到修复版本发布之前，几乎所有在用的内核都受影响。

攻击画像：零点击、网络可达、Root 权限

这枚漏洞之所以危险，在于触发条件几乎为零：不用密码，不用任何用户交互，仅凭网络流量就能触发，随后实现远程 Root 权限执行。内核 CVE 团队对它的定性是“网络可达、无需特权、无需交互”的严重漏洞。

Anthropic 的实测数据显示，内部 Claude 模型不只是发现了这个漏洞，还自行写出了完整的两阶段利用程序——第一阶段约 48 分钟，靠泄露内核指针破解内核地址随机化（KASLR）保护；第二阶段只用了 5 分钟，覆写回调指针，以 Root 权限执行任意命令，全程约 53 分钟。更棘手的地方在于，竞态失败只会让该次握手失败，不会导致目标崩溃，攻击者可以反复重试，直到成功。

修复版本与各发行版进度

上游修复已于 10 月 15 日完成，覆盖的稳定分支版本包括 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10 及主线的 7.3。

真正的问题出在“上游已修复”与“你的服务器已修复”之间的时间差。各发行版状态不一：Debian、SLES 及 Oracle Linux 已发布修复内核；Amazon Linux 2023 的 6.18 与 6.12 内核已分别于 10 月 24 日、29 日修复；Ubuntu 26.10、26.04 LTS、24.04 LTS、22.04 LTS 的修复仍在开发中，Red Hat 则把部分版本的修复标记为延期处理。

还有一个细节会扩大暴露面：Go 1.24 及更高版本在 Linux 上默认启用 Multipath TCP（MPTCP），而 Anthropic 的 PoC 正是针对运行 MPTCP 监听的服务器设计的。对运行对外服务的 Ubuntu 管理员来说，风险窗口目前仍然敞开——禁用 MPTCP 只能收窄攻击面，内核层面的缺陷本身消除不了。

真正的看点：AI 双刃剑

需要强调的是，Anthropic 表示该利用代码不会公开发布。但这次事件已经清楚展示出一个趋势：在发现漏洞这件事上，AI 的效率已经超过人类安全研究员——一个存在了 11 年、被无数双眼睛审查过的内核竞态缺陷，被模型在系统性测试中定位并武器化。同样的能力落到攻击者手里，意味着防御方的准备时间正在被压缩。

对行业来说，这既是一例“AI 用于安全”的标志性案例，也是一次关于能力不对称的预演：发现漏洞的 AI 和利用漏洞的 AI，用的是同一套技术。