Uma grave vulnerabilidade descoberta no kernel do Linux colocou a comunidade da Lightning Network em alerta. A falha, classificada como crítica com 9,8 de 10, permite potencialmente a execução remota de código como superusuário em sistemas com Multipath TCP habilitado, afetando diretamente servidores com nós LND expostos à internet.
Diante desse cenário, os desenvolvedores de infraestrutura reagiram com urgência, lançando versões corretivas com o objetivo de fechar a brecha de exploração, enquanto os administradores de sistemas aplicaram patches no nível do sistema operacional para proteger seus ambientes.
A origem da vulnerabilidade está no kernel do Linux.
A falha de segurança identificada como A vulnerabilidade CVE-2026-98432 foi relatada por Matt Corallo em 30 de outubro.A vulnerabilidade revelou uma falha de uso após liberação (use-after-free) no código de negociação TCP IPv4 do kernel do Linux. O Sistema Comum de Pontuação de Vulnerabilidades (CVSS) classificou a gravidade do problema em 9,8 de 10, colocando-o entre as vulnerabilidades mais graves relatadas nos últimos anos.
A equipe Frontier Red Team da Anthropic demonstrou que essa vulnerabilidade pode ser explorada para criar um caminho de execução remota com privilégios de root quando uma máquina mantém um listener ativo usando Multipath TCP (MPTCP). Essa tecnologia permite que uma conexão de rede utilize múltiplos caminhos físicos simultaneamente para melhorar a resiliência e a largura de banda, mas sua implementação de baixo nível no kernel apresentava essa falha crítica.
O alerta público gerou uma reação imediata de figuras técnicas do ecossistema, incluindo Peter Todd, que recomendou a suspensão temporária de nós que executavam software vulnerável em ambientes com portas abertas até que o sistema operacional recebesse a atualização correspondente. Se você quiser entender a base tecnológica sobre a qual essas infraestruturas descentralizadas operam, em Bit2Me Academy Você tem acesso a guias detalhados sobre arquitetura de nós e validação de rede.
Como a falha afeta os nós da Lightning Network
A ligação entre essa vulnerabilidade do sistema operacional e os operadores de infraestrutura reside na linguagem de programação e na configuração de rede. O cliente LND da Lightning Labs é desenvolvido em Go. A partir da versão 1.24 do Go, o compilador habilita o suporte a MPTCP por padrão, desde que o kernel do host tenha esse recurso habilitado.
Como resultado dessa configuração padrão, as versões recentes do LND permaneceram em modo de escuta via MPTCP tanto em suas portas de comunicação ponto a ponto quanto em suas interfaces gRPC e REST. Qualquer servidor Linux diretamente exposto à internet com essas portas abertas era teoricamente vulnerável a tentativas de acesso não autorizado com privilégios de administrador do sistema.
O protocolo de segunda camada do Bitcoin processa transações instantâneas por meio de canais de pagamento roteados. Manter um nó operacional de alta disponibilidade exige a exposição de interfaces de rede a outros participantes, colocando esses servidores no perímetro externo de ataques caso o sistema subjacente não esteja devidamente protegido contra falhas de rede do kernel.
Medidas de mitigação imediatas em LND
Em resposta ao relatório dos pesquisadores, a Lightning Labs lançou duas versões de emergência em 30 de outubro: lnd v0.21.6-beta e backport v0.20.7-beta. Ambas as atualizações desativam os listeners MPTCP no software do nó por padrão, bloqueando diretamente o vetor de ataque demonstrado pelos analistas de segurança.
Os desenvolvedores do projeto enfatizaram claramente que essas novas versões representam uma medida de mitigação direcionada e não uma solução definitiva para a vulnerabilidade subjacente. Se a máquina afetada estiver executando outros programas ou serviços que aceitam conexões via MPTCP, o servidor permanecerá exposto até que esse protocolo seja desativado em todo o sistema ou o kernel do Linux seja atualizado para uma versão segura.
Tanto Olaoluwa Osuntokun quanto as contas oficiais da equipe técnica recomendaram a atualização do software do nó o mais rápido possível. Usuários que gerenciam suas operações por meio de soluções de custódia institucional ou interfaces integradas devem lembrar que a segurança do ecossistema depende da atualização coordenada de toda a infraestrutura técnica.
Resposta de distribuições e varreduras de rede
O ritmo de distribuição de patches variou consideravelmente dependendo da distribuição Linux utilizada. A Red Hat lançou correções para o RHEL 8, 9 e 10 em 1º de novembro, enquanto distribuições como Debian e Amazon Linux já haviam disponibilizado atualizações para seus usuários. No caso do Ubuntu, a Canonical disponibilizou pacotes corrigidos no repositório opcional para as versões 22.04, 24.04 e 26.04, aguardando o lançamento para os canais principais.
Na área de distribuições especializadas para nós domésticos, o UmbrelOS lançou sua versão 2.0.1 em 1º de novembro, incorporando o kernel corrigido em dispositivos com processadores x86 e implementando o bloqueio de tráfego em nível de rede para placas Raspberry Pi, onde o kernel atualizado exigiu tempos de compilação adicionais.
A urgência dessas medidas foi confirmada pela análise do pesquisador de segurança Marcus Hutchins, que detectou campanhas globais de varredura da internet em busca de servidores vulneráveis. De acordo com seus registros, aproximadamente 2,1 milhões de máquinas estavam acessíveis via MPTCP na porta 443 no início de novembro, confirmando que agentes maliciosos estão sondando automaticamente endereços públicos expostos.
Recomendações operacionais para administradores de sistemas
Apesar das extensas varreduras de rede, as agências de cibersegurança confirmaram que nenhuma exploração bem-sucedida foi detectada em ambientes de produção, e a vulnerabilidade não foi adicionada ao catálogo de vulnerabilidades conhecidas da CISA. Além disso, os detalhes completos da exploração desenvolvida pela Anthropic permanecem restritos para proteger sistemas de acesso público.
O risco prático concentra-se em máquinas com endereçamento IP público direto e interfaces de escuta ativa. Por outro lado, computadores desktop convencionais ou nós domésticos localizados atrás de um roteador com firewalls padrão e Tradução de Endereços de Rede (NAT) não representam uma superfície exposta para esses ataques externos diretos.
Para proteger adequadamente um servidor Linux que suporta infraestrutura de pagamentos ou serviços web, os administradores devem seguir três etapas prioritárias:
- Atualize os pacotes do sistema operacional usando os gerenciadores oficiais para instalar a versão estável mais recente do kernel.
- Desative o MPTCP no nível do sysctl se ele não for expressamente necessário nos serviços de produção.
- Instale as versões atualizadas do LND v0.21.6-beta ou v0.20.7-beta para fechar o vetor no software Lightning.
Perguntas frequentes
O que é a vulnerabilidade CVE-2026-98432 no Linux?
Esta é uma vulnerabilidade crítica de uso após liberação (use-after-free) localizada no gerenciamento de conexões TCP IPv4 do kernel do Linux. Com uma pontuação CVSS de 9,8, ela permite, sob certas condições, a execução remota de código com privilégios elevados em máquinas que utilizam o protocolo TCP Multipath.
Meus fundos no nó Lightning estão em risco?
A falha não afeta a criptografia do Bitcoin nem as regras do protocolo monetário. No entanto, se um atacante obtiver controle do sistema operacional de um servidor remoto por meio desse tipo de vulnerabilidade, ele poderá comprometer as chaves privadas armazenadas no nó, caso a equipe não implemente as medidas de mitigação adequadas.
A atualização do LND é suficiente para proteger o servidor?
Não. A atualização do LND elimina o vetor de ataque que usava as próprias portas do nó Lightning para interagir com o MPTCP, mas o kernel do Linux permanecerá vulnerável se outros programas mantiverem serviços de escuta ativos na máquina. A atualização do kernel do sistema operacional é essencial.
A rápida coordenação técnica entre pesquisadores independentes e desenvolvedores de infraestrutura aberta ajudou a mitigar uma das vulnerabilidades de rede mais complexas identificadas nos últimos anos. Manter tanto o software aplicativo quanto o sistema operacional subjacente atualizados continua sendo fundamental para a segurança e a resiliência da rede.
O investimento em criptoativos não é totalmente regulamentado, pode não ser adequado para investidores de varejo devido à alta volatilidade e há risco de perder todos os valores investidos.
Foram utilizadas ferramentas generativas de inteligência artificial para criar este artigo.
