Matt Corallo ha segnalato il 30 ottobre la vulnerabilità CVE-2026-98432 del kernel Linux, e Lightning Labs ha rilasciato LND 0.20.7, una versione che chiude il percorso di exploit dimostrato attraverso i nodi Lightning. Se usi LND su Linux, ci sono tre passaggi da seguire, in ordine.
Cos'è CVE-2026-98432
Il bug riguarda il codice dell'handshake TCP IPv4 del kernel Linux e ha un punteggio CVSS di 9,8. Corallo l'ha definito su X "la vulnerabilità Linux più critica di sempre".
Secondo le note di rilascio di LND 0.20.7, l'exploit remoto dimostrato richiede un listener Multipath TCP (MPTCP). Go 1.24+ abilita MPTCP di default, quindi LND 0.20.x esponeva questi listener sulle porte peer, gRPC e REST. Windows e macOS non sono interessati.
Cosa ha cambiato Lightning Labs
- I binari di LND 0.20.7 non aprono più listener MPTCP e ripristinano il normale TCP come trasporto predefinito
- La modifica è una mitigazione, non una correzione: il bug del kernel non è specifico di MPTCP
- L'account ufficiale di Lightning Labs ha consigliato l'aggiornamento
su X
- Dopo aver aggiornato il kernel, puoi riattivare MPTCP con GODEBUG=multipathtcp=1
I tre passaggi, in ordine
Lightning Labs chiede agli operatori Linux di eseguire tutti e tre i passaggi in quest'ordine. La nuova versione protegge solo LND, non gli altri servizi sulla stessa macchina.
Passaggio | Azione | Cosa copre |
|---|---|---|
1 | Aggiornare a LND 0.20.7 | Chiude il percorso di exploit dimostrato tramite LND |
2 | sudo sysctl -w net.mptcp.enabled=0 | Gli altri servizi sull'host |
3 | Installare il kernel aggiornato della tua distribuzione | L'unica correzione del bug del kernel |
Per rendere il passaggio 2 persistente dopo il riavvio, esegui anche: echo 'net.mptcp.enabled = 0' | sudo tee /etc/sysctl.d/90-disable-mptcp.conf. Se il comando segnala che la chiave non esiste, il tuo kernel non supporta MPTCP e non è esposto da questo percorso.
Docker, verifica e alternative
L'impostazione MPTCP vale per ogni network namespace. Se LND gira in Docker, passa --sysctl net.mptcp.enabled=0 al container, oppure usa la regola firewall descritta nella issue 11455, che copre tutti i namespace.
Verifica con sudo ss -Mlnp | grep lnd - il comando non deve stampare nulla. Se non puoi ancora aggiornare, avvia il binario esistente con GODEBUG=multipathtcp=0.
Disattivare MPTCP chiude solo l'exploit dimostrato. Non riattivare MPTCP con GODEBUG=multipathtcp=1 finché il kernel non è aggiornato.