Eine schwerwiegende Sicherheitslücke im Linux-Kernel hat die Lightning-Network-Community alarmiert. Der Fehler, der mit 9,8 von 10 Punkten als kritisch eingestuft wird, ermöglicht potenziell die Ausführung von Schadcode mit Administratorrechten auf Systemen mit aktiviertem Multipath TCP und betrifft Server mit LND-Knoten, die mit dem Internet verbunden sind.
Angesichts dieses Szenarios reagierten die Infrastrukturentwickler umgehend mit der Veröffentlichung von Korrekturversionen, die darauf abzielten, die Ausnutzungsmöglichkeit zu unterbinden, während die Systemadministratoren Patches auf Betriebssystemebene anwendeten, um ihre Umgebung zu schützen.
Der Ursprung der Schwachstelle liegt im Linux-Kernel.
Die identifizierte Sicherheitslücke CVE-2026-98432 wurde am 30. Oktober von Matt Corallo gemeldet.Die Schwachstelle deckte eine Use-After-Free-Schwachstelle im IPv4-TCP-Aushandlungscode des Linux-Kernels auf. Das Common Vulnerabilities Scoring System (CVSS) bewertete die Schwere des Problems mit 9,8 von 10 Punkten und ordnete es damit zu den schwerwiegendsten Sicherheitslücken der letzten Jahre ein.
Das Frontier Red Team von Anthropic demonstrierte, dass diese Schwachstelle ausgenutzt werden kann, um einen Remote-Ausführungspfad mit Root-Rechten zu erstellen, wenn ein Rechner einen aktiven Listener mittels Multipath TCP (MPTCP) aufrechterhält. Diese Technologie ermöglicht es einer Netzwerkverbindung, mehrere physische Pfade gleichzeitig zu nutzen, um Ausfallsicherheit und Bandbreite zu verbessern. Ihre Low-Level-Implementierung im Kernel wies jedoch diese kritische Schwäche auf.
Die öffentliche Warnung löste umgehend Reaktionen von technischen Experten des Ökosystems aus, darunter Peter Todd, der empfahl, Knoten mit anfälliger Software in Umgebungen mit offenen Ports vorübergehend zu stoppen, bis das Betriebssystem das entsprechende Update erhalten hatte. Wenn Sie die technologischen Grundlagen verstehen möchten, auf denen diese dezentralen Infrastrukturen basieren, … Bit2Me-Akademie Sie haben Zugriff auf detaillierte Leitfäden zur Knotenarchitektur und Netzwerkvalidierung.
Wie sich der Ausfall auf Lightning-Netzwerkknoten auswirkt
Die Verbindung zwischen dieser Betriebssystem-Schwachstelle und Infrastrukturbetreibern liegt in der Programmiersprache und der Netzwerkkonfiguration. Der LND-Client von Lightning Labs ist in Go entwickelt. Ab Go-Version 1.24 aktiviert der Compiler standardmäßig die MPTCP-Unterstützung, sofern der Host-Kernel diese Funktion unterstützt.
Aufgrund dieser Standardkonfiguration lauschten neuere Versionen von LND weiterhin über MPTCP sowohl auf ihren Peer-to-Peer-Kommunikationsports als auch auf ihren gRPC- und REST-Schnittstellen. Jeder Linux-Server, der direkt mit dem Internet verbunden war und über diese offenen Ports verfügte, war theoretisch anfällig für unberechtigte Zugriffsversuche mit Systemadministratorrechten.
Bitcoins Second-Layer-Protokoll verarbeitet Transaktionen in Echtzeit über geroutete Zahlungskanäle. Um einen hochverfügbaren Betriebsknoten zu gewährleisten, müssen Netzwerkschnittstellen für andere Teilnehmer zugänglich gemacht werden. Dadurch befinden sich diese Server am äußeren Rand des Angriffsrisikos, falls das zugrundeliegende System nicht ausreichend gegen Kernel-Netzwerkausfälle geschützt ist.
Sofortige Minderungsmaßnahmen in LND
Als Reaktion auf den Bericht der Forscher veröffentlichte Lightning Labs am 30. Oktober zwei Notfallversionen: lnd v0.21.6-beta und Backport v0.20.7-beta. Beide Updates deaktivieren MPTCP-Listener in der Node-Software standardmäßig und blockieren so direkt den von den Sicherheitsanalysten aufgezeigten Angriffsvektor.
Die Projektentwickler betonten ausdrücklich, dass diese neuen Versionen eine gezielte Schutzmaßnahme und keine endgültige Lösung für die zugrundeliegende Sicherheitslücke darstellen. Läuft auf dem betroffenen Rechner ein anderes Programm oder ein Dienst, der Verbindungen über MPTCP akzeptiert, bleibt der Server so lange angreifbar, bis dieses Protokoll systemweit deaktiviert oder der Linux-Kernel auf eine sichere Version aktualisiert wird.
Sowohl Olaoluwa Osuntokun als auch die offiziellen Accounts des technischen Teams empfahlen dringend, die Node-Software so schnell wie möglich zu aktualisieren. Nutzer, die ihre Transaktionen über institutionelle Verwahrungslösungen oder integrierte Schnittstellen verwalten, sollten beachten, dass die Sicherheit des Ökosystems von der koordinierten Aktualisierung der gesamten technischen Infrastruktur abhängt.
Antwort von Netzwerkverteilungen und Scans
Die Geschwindigkeit der Patch-Verteilung variierte erheblich je nach verwendeter Linux-Distribution. Red Hat veröffentlichte am 1. November Korrekturen für RHEL 8, 9 und 10, während Distributionen wie Debian und Amazon Linux ihren Nutzern bereits Updates bereitgestellt hatten. Im Fall von Ubuntu stellte Canonical korrigierte Pakete für die Versionen 22.04, 24.04 und 26.04 im optionalen Repository zur Verfügung, bis diese in den regulären Kanälen veröffentlicht wurden.
Im Bereich der spezialisierten Distributionen für Heimknoten veröffentlichte UmbrelOS am 1. November seine Version 2.0.1, die den korrigierten Kernel auf Geräten mit x86-Prozessoren enthielt und eine Blockierung des Netzwerkverkehrs für Raspberry Pi-Boards implementierte, wo der aktualisierte Kernel zusätzliche Kompilierungszeiten erforderte.
Die Dringlichkeit dieser Maßnahmen wurde durch die Analyse des Sicherheitsforschers Marcus Hutchins bestätigt, der weltweite Internet-Scanning-Kampagnen zur Suche nach angreifbaren Servern aufdeckte. Seinen Aufzeichnungen zufolge waren Anfang November rund 2,1 Millionen Rechner über MPTCP auf Port 443 erreichbar, was bestätigt, dass Angreifer automatisch exponierte öffentliche Adressen scannen.
Betriebliche Empfehlungen für Systemadministratoren
Trotz umfangreicher Netzwerkscans bestätigten Cybersicherheitsbehörden, dass keine erfolgreichen Ausnutzungen in Produktionsumgebungen festgestellt wurden und die Schwachstelle nicht in den Katalog bekannter Sicherheitslücken der CISA aufgenommen wurde. Darüber hinaus werden die vollständigen Details des von Anthropic entwickelten Exploits weiterhin nicht veröffentlicht, um öffentlich zugängliche Systeme zu schützen.
Das praktische Risiko konzentriert sich auf Rechner mit direkter öffentlicher IP-Adresse und aktiven Schnittstellen zum Abhören von Daten. Herkömmliche Desktop-Computer oder Heimnetzwerkgeräte hinter einem Router mit Standard-Firewalls und Network Address Translation (NAT) bieten hingegen keine Angriffsfläche für diese direkten externen Angriffe.
Um einen Linux-Server, der Zahlungsinfrastruktur oder Webdienste unterstützt, angemessen zu schützen, sollten Administratoren drei prioritäre Schritte befolgen:
- Aktualisieren Sie die Betriebssystempakete mithilfe der offiziellen Paketmanager, um die neueste stabile Kernel-Version zu installieren.
- Deaktivieren Sie MPTCP auf sysctl-Ebene, wenn es in Produktionsdiensten nicht ausdrücklich erforderlich ist.
- Installieren Sie die aktualisierten Versionen von LND v0.21.6-beta oder v0.20.7-beta, um den Vektor in der Lightning-Software zu schließen.
Häufig gestellte Fragen
Was ist die Sicherheitslücke CVE-2026-98432 in Linux?
Dies ist eine kritische Use-After-Free-Schwachstelle in der IPv4-TCP-Verbindungsverwaltung des Linux-Kernels. Mit einem CVSS-Wert von 9,8 ermöglicht sie unter bestimmten Bedingungen die Ausführung von Schadcode mit erhöhten Rechten auf Systemen, die das Multipath-TCP-Protokoll verwenden.
Sind meine Lightning-Node-Gelder gefährdet?
Die Schwachstelle beeinträchtigt weder die Kryptografie von Bitcoin noch die Regeln des Währungsprotokolls. Sollte ein Angreifer jedoch durch diese Sicherheitslücke die Kontrolle über das Betriebssystem eines entfernten Servers erlangen, könnte er die auf dem Knoten gespeicherten privaten Schlüssel kompromittieren, falls das Team keine geeigneten Gegenmaßnahmen ergreift.
Reicht ein Update von LND aus, um den Server zu schützen?
Nein. Das LND-Update beseitigt zwar den Angriffsvektor, der die Ports des Lightning-Knotens zur Interaktion mit MPTCP nutzte, der Linux-Kernel bleibt jedoch angreifbar, falls andere Programme auf dem System aktive Überwachungsdienste betreiben. Ein Update des Betriebssystemkernels ist daher unerlässlich.
Die rasche technische Koordination zwischen unabhängigen Forschern und Entwicklern offener Infrastrukturen hat dazu beigetragen, eine der komplexesten Netzwerk-Schwachstellen der letzten Jahre zu beheben. Die Aktualisierung von Anwendungssoftware und des zugrundeliegenden Betriebssystems ist weiterhin grundlegend für die Netzwerksicherheit und -stabilität.
Die Investition in Kryptoassets unterliegt keinen umfassenden Regulierungen und ist aufgrund der hohen Volatilität möglicherweise nicht für Privatanleger geeignet. Zudem besteht das Risiko, den gesamten investierten Betrag zu verlieren.
Dieser Artikel wurde mithilfe von Werkzeugen der generativen künstlichen Intelligenz erstellt.
