#remote code execution

Linux 内核多路径 TCP（MPTCP）中被披露一个可远程触发的释放后使用漏洞 CVE-2026-98432：攻击者可让重传 SYN 包的响应与另一线程中的连接建立同时发生，使第一个线程在第二个线程已释放连接选项结构后仍访问该结构，从而泄露内核内存，或造成缓冲区溢出并写入攻击者控制的数据。上游修复提交（e3f33b0a1d89）改为仅在 RCU 宽限期结束后才释放该结构。Anthropic 于 10 月 27 日公开该漏洞，Go 安全团队于 10 月 29 日提示，用 Go 编写的程序默认使用多路径 TCP。受影响的仅是开启了 MPTCP 监听器的系统；各发行版何时提供已打补丁的内核尚不清楚，来源摘要也未说明是否已出现实际利用。

Node.js 项目为 26.x、24.x 和 22.x 分支发布安全更新，共修复 10 个漏洞，最高严重级别为高危（High）。其中，Brotli 解码器越界写入（CVE-2026-111497）被描述为可导致远程代码执行；另一个已报告的问题是 TLS 非规范 IP 地址处理（CVE-2026-106069、CVE-2026-106072）。此次更新还修复了 DNS 解析空字节验证（CVE-2026-105482）、TLS IP 规范化回归（CVE-2026-105483），以及 HTTP 代理、加密快照、zlib 和权限等中低严重性问题。项目建议使用最新版本，并指出已终止支持（EOL）的版本同样受这些漏洞影响。

Node.js 项目发布了多项安全更新，修复了多个漏洞，其中包括一个影响使用 Brotli 压缩的程序的远程代码执行漏洞。musl libc 项目同时公布了一个越界写漏洞，该漏洞可能被用于远程代码执行，但报道明确指出这一点尚未得到演示。该消息本身是一篇简讯，链接到相关公告，未给出受影响的具体版本号或修复版本。