Matt Corallo hat am 30. Oktober auf die Linux-Kernel-Schwachstelle CVE-2026-98432 hingewiesen. Lightning Labs hat daraufhin LND 0.20.7 veröffentlicht, das den demonstrierten Exploit-Pfad über Lightning-Nodes schließt. Wenn du LND unter Linux betreibst, musst du drei Schritte in dieser Reihenfolge ausführen.
Was CVE-2026-98432 ist
Der Bug betrifft den IPv4-TCP-Handshake-Code des Linux-Kernels und hat einen CVSS-Wert von 9,8. Corallo nannte ihn auf X "die kritischste Linux-Schwachstelle aller Zeiten".
Laut den Release Notes zu LND 0.20.7 setzt der gezeigte Remote-Exploit einen Multipath-TCP-Listener (MPTCP) voraus. Go 1.24+ aktiviert MPTCP standardmäßig, daher stellte LND 0.20.x solche Listener auf seinen Peer-, gRPC- und REST-Ports bereit. Windows und macOS sind nicht betroffen.
Was Lightning Labs geändert hat
- LND-0.20.7-Binaries öffnen keine MPTCP-Listener mehr und setzen wieder auf reines TCP als Standardtransport
- Die Änderung ist eine Gegenmaßnahme, kein Fix: Der Kernel-Bug ist nicht auf MPTCP beschränkt
- Der offizielle Account von Lightning Labs empfahl das Update
auf X
- Sobald dein Kernel gepatcht ist, kannst du MPTCP mit GODEBUG=multipathtcp=1 wieder aktivieren
Die drei Schritte in der richtigen Reihenfolge
Lightning Labs bittet Linux-Betreiber, alle drei Schritte in dieser Reihenfolge auszuführen. Das neue Release schützt nur LND, nicht andere Dienste auf demselben Rechner.
Schritt | Maßnahme | Was sie abdeckt |
|---|---|---|
1 | Auf LND 0.20.7 upgraden | Schließt den demonstrierten Exploit-Pfad über LND |
2 | sudo sysctl -w net.mptcp.enabled=0 | Andere Dienste auf dem Host |
3 | Den gepatchten Kernel deiner Distribution installieren | Die einzige Lösung für den Kernel-Bug selbst |
Damit Schritt 2 einen Neustart übersteht, führe zusätzlich aus: echo 'net.mptcp.enabled = 0' | sudo tee /etc/sysctl.d/90-disable-mptcp.conf. Meldet der Befehl, dass der Schlüssel nicht existiert, unterstützt dein Kernel kein MPTCP und ist über diesen Pfad nicht angreifbar.
Docker, Überprüfung und Alternativen
Die MPTCP-Einstellung gilt pro Network Namespace. Läuft LND in Docker, übergib dem Container --sysctl net.mptcp.enabled=0 oder nutze die Firewall-Regel aus Issue 11455, die alle Namespaces abdeckt.
Prüfe mit sudo ss -Mlnp | grep lnd - der Befehl sollte nichts ausgeben. Kannst du noch nicht upgraden, starte stattdessen die vorhandene Binary mit GODEBUG=multipathtcp=0.
Das Deaktivieren von MPTCP schließt nur den demonstrierten Exploit. Aktiviere MPTCP nicht mit GODEBUG=multipathtcp=1 wieder, bevor dein Kernel gepatcht ist.