Una grave vulnerabilità scoperta nel kernel Linux ha messo in allerta la comunità di Lightning Network. La falla, classificata come critica con un punteggio di 9,8 su 10, consente potenzialmente l'esecuzione di codice in remoto con privilegi di superutente su sistemi con Multipath TCP abilitato, con un impatto diretto sui server con nodi LND esposti a Internet.
Di fronte a questo scenario, gli sviluppatori di infrastrutture hanno reagito con urgenza rilasciando versioni correttive volte a chiudere la falla di sicurezza, mentre gli amministratori di sistema hanno applicato patch a livello di sistema operativo per proteggere il proprio ambiente.
L'origine della vulnerabilità risiede nel kernel Linux.
La falla di sicurezza identificata come La vulnerabilità CVE-2026-98432 è stata segnalata da Matt Corallo il 30 ottobre.La vulnerabilità ha rivelato una falla di tipo use-after-free nel codice di negoziazione TCP IPv4 del kernel Linux. Il Common Vulnerabilities Scoring System (CVSS) ha valutato la gravità del problema a 9,8 su 10, collocandolo tra le vulnerabilità più gravi segnalate negli ultimi anni.
Il Frontier Red Team di Anthropic ha dimostrato che questa vulnerabilità può essere sfruttata per creare un percorso di esecuzione remota con privilegi di root quando una macchina mantiene un listener attivo utilizzando Multipath TCP (MPTCP). Questa tecnologia consente a una connessione di rete di utilizzare simultaneamente più percorsi fisici per migliorare la resilienza e la larghezza di banda, ma la sua implementazione di basso livello nel kernel presentava questa debolezza critica.
L'avvertimento pubblico ha generato una reazione immediata da parte di figure tecniche dell'ecosistema, tra cui Peter Todd, che ha raccomandato di arrestare temporaneamente i nodi che eseguono software vulnerabile in ambienti con porte aperte fino a quando il sistema operativo non avesse ricevuto l'aggiornamento corrispondente. Se vuoi capire le basi tecnologiche su cui operano queste infrastrutture decentralizzate, in Accademia Bit2Me Hai accesso a guide dettagliate sull'architettura dei nodi e sulla convalida della rete.
Come il guasto influisce sui nodi di Lightning Network
Il collegamento tra questa vulnerabilità del sistema operativo e gli operatori dell'infrastruttura risiede nel linguaggio di programmazione e nella configurazione di rete. Il client LND di Lightning Labs è sviluppato in Go. A partire dalla versione 1.24 di Go, il compilatore abilita di default il supporto MPTCP, a condizione che il kernel host abbia questa funzionalità abilitata.
A causa di questa configurazione predefinita, le versioni recenti di LND rimanevano in ascolto tramite MPTCP sia sulle porte di comunicazione peer-to-peer che sulle interfacce gRPC e REST. Qualsiasi server Linux esposto direttamente a Internet con queste porte aperte era teoricamente vulnerabile a tentativi di accesso non autorizzato con privilegi di amministratore di sistema.
Il protocollo di secondo livello di Bitcoin elabora le transazioni istantanee attraverso canali di pagamento instradati. Mantenere un nodo operativo ad alta disponibilità richiede l'esposizione delle interfacce di rete ad altri partecipanti, collocando questi server al perimetro esterno degli attacchi qualora il sistema sottostante non sia adeguatamente protetto contro i guasti della rete del kernel.
Misure immediate di mitigazione in LND
In risposta al rapporto dei ricercatori, Lightning Labs ha rilasciato due versioni di emergenza il 30 ottobre: lnd v0.21.6-beta e backport v0.20.7-beta. Entrambi gli aggiornamenti disabilitano per impostazione predefinita i listener MPTCP nel software del nodo, bloccando direttamente il vettore di attacco dimostrato dagli analisti della sicurezza.
Gli sviluppatori del progetto hanno chiaramente sottolineato che queste nuove versioni rappresentano una misura di mitigazione mirata e non una soluzione definitiva alla vulnerabilità sottostante. Se la macchina interessata esegue altri programmi o servizi che accettano connessioni tramite MPTCP, il server rimane esposto finché questo protocollo non viene disabilitato a livello di sistema o il kernel Linux non viene aggiornato a una versione sicura.
Sia Olaoluwa Osuntokun che gli account ufficiali del team tecnico hanno raccomandato di aggiornare il software del nodo il prima possibile. Gli utenti che gestiscono le proprie operazioni tramite soluzioni di custodia istituzionale o interfacce integrate devono ricordare che la sicurezza dell'ecosistema dipende dall'aggiornamento coordinato dell'intera infrastruttura tecnica.
Risposta dalle distribuzioni di rete e dalle scansioni
La velocità di distribuzione delle patch variava considerevolmente a seconda della distribuzione Linux utilizzata. Red Hat ha rilasciato le correzioni per RHEL 8, 9 e 10 il 1° novembre, mentre distribuzioni come Debian e Amazon Linux avevano già fornito aggiornamenti ai propri utenti. Nel caso di Ubuntu, Canonical ha reso disponibili i pacchetti corretti nel repository opzionale per le versioni 22.04, 24.04 e 26.04, in attesa del loro rilascio nei canali principali.
Nell'ambito delle distribuzioni specializzate per nodi domestici, UmbrelOS ha rilasciato la versione 2.0.1 il 1° novembre, incorporando il kernel corretto sui dispositivi con processori x86 e implementando il blocco del traffico a livello di rete per le schede Raspberry Pi, dove il kernel aggiornato richiedeva tempi di compilazione aggiuntivi.
L'urgenza di queste misure è stata confermata dall'analisi del ricercatore di sicurezza Marcus Hutchins, che ha rilevato campagne di scansione internet a livello globale alla ricerca di server vulnerabili. Secondo i suoi dati, all'inizio di novembre circa 2,1 milioni di macchine erano accessibili tramite MPTCP sulla porta 443, a conferma del fatto che malintenzionati stanno sondando automaticamente gli indirizzi pubblici esposti.
Raccomandazioni operative per gli amministratori di sistema
Nonostante le approfondite scansioni di rete, le agenzie di sicurezza informatica hanno confermato che non sono stati rilevati exploit riusciti negli ambienti di produzione e la vulnerabilità non è stata aggiunta al catalogo delle vulnerabilità note della CISA. Inoltre, i dettagli completi dell'exploit sviluppato da Anthropic rimangono riservati per proteggere i sistemi accessibili al pubblico.
Il rischio pratico si concentra sui dispositivi con indirizzamento IP pubblico diretto e interfacce di ascolto attive. Al contrario, i computer desktop convenzionali o i nodi domestici situati dietro un router con firewall standard e Network Address Translation (NAT) non presentano una superficie esposta a questi attacchi esterni diretti.
Per proteggere adeguatamente un server Linux che supporta infrastrutture di pagamento o servizi web, gli amministratori dovrebbero seguire tre passaggi prioritari:
- Aggiorna i pacchetti del sistema operativo utilizzando i gestori ufficiali per installare l'ultima versione stabile del kernel.
- Disabilitare MPTCP a livello di sysctl se non è espressamente richiesto nei servizi di produzione.
- Installa le versioni aggiornate di LND v0.21.6-beta o v0.20.7-beta per chiudere il vettore nel software Lightning.
Domande frequenti
Che cos'è la vulnerabilità CVE-2026-98432 in Linux?
Si tratta di una vulnerabilità critica di tipo use-after-free (uso dopo la liberazione della memoria) localizzata nella gestione delle connessioni TCP IPv4 del kernel Linux. Con un punteggio CVSS di 9,8, consente, in determinate condizioni, l'esecuzione di codice remoto con privilegi elevati su macchine che utilizzano il protocollo Multipath TCP.
I fondi del mio nodo Lightning sono a rischio?
La falla non compromette la crittografia di Bitcoin né le regole del protocollo monetario. Tuttavia, se un malintenzionato riuscisse a ottenere il controllo del sistema operativo di un server remoto sfruttando questo tipo di vulnerabilità, potrebbe compromettere le chiavi private memorizzate sul nodo qualora il team non implementasse le opportune misure di mitigazione.
L'aggiornamento di LND è sufficiente a proteggere il server?
No. L'aggiornamento LND elimina il vettore di attacco che utilizzava le porte del nodo Lightning per interagire con MPTCP, ma il kernel Linux rimarrà vulnerabile se altri programmi mantengono servizi di ascolto attivi sulla macchina. L'aggiornamento del kernel del sistema operativo è essenziale.
Il rapido coordinamento tecnico tra ricercatori indipendenti e sviluppatori di infrastrutture aperte ha contribuito a mitigare una delle vulnerabilità di rete più complesse individuate negli ultimi anni. Mantenere aggiornati sia il software applicativo che il sistema operativo sottostante rimane fondamentale per la sicurezza e la resilienza della rete.
Gli investimenti in criptovalute non sono completamente regolamentati, potrebbero non essere adatti agli investitori al dettaglio a causa dell'elevata volatilità e sussiste il rischio di perdere tutti gli importi investiti.
Per la creazione di questo articolo sono stati utilizzati strumenti di intelligenza artificiale generativa.
