ビットコインのBitcoin CoreおよびLightningの開発者であるMatt Coralloは、10月30日にLinuxカーネルの重大な脆弱性を指摘し、自身が「史上最も重大なLinuxの脆弱性」と呼ぶものに対するUbuntuの対応の遅れを批判した。CVE-2026-98432として追跡されているこのバグは、カーネルのIPv4 TCPハンドシェイクコードに影響を及ぼし、CVSSの深刻度スコアは9.8である。AnthropicのFrontier Red Teamは後に、Multipath TCP（MPTCP）リスナーを公開しているシステムに対して、これがリモートrootエクスプロイトに転用され得ることを示した。

ピーター・トッドは同日、この警告に同調し、Linux上で開いたポートを持つLNDを運用している者は、カーネルにパッチが適用されるか、その他の緩和策が講じられるまでビットコイン・ライトニングノードを停止するよう助言した。実証された攻撃経路はMPTCPリスナーに依存しており、これはGo 1.24以降でデフォルトで有効になる。LNDはGoで書かれているため、最近のバージョンでは、カーネルでこの機能が有効になっている場合、ピア、gRPC、およびRESTポートでMPTCPを用いて待ち受けていた。

Lightning Labsは同日、緊急リリースとしてlnd v0.21.6-betaとバックポート版v0.20.7-betaを公開して対応した。両バージョンはMPTCPリスナーをデフォルトで無効化し、LNDを経由した実証済みの攻撃経路を塞ぐ。プロジェクトはこの変更を修正ではなく緩和策と位置づけ、根本的な問題を完全に解決するにはパッチ適用済みのカーネルが必要だと指摘した。同じマシン上の他のサービスは、MPTCPをホスト全体で無効化するかカーネルを更新するまで脆弱なままとなる。Olaoluwa Osuntokun氏とLightning Labsの公式アカウントはいずれもアップデートを推奨した。

セキュリティ研究者のMarcus Hutchinsは後に、脅威アクターが露出したシステムを探している状況と一致するインターネット全体のスキャン活動を報告した。彼のスキャンでは、ポート443上のMPTCPを介して到達可能な約210万台のサーバーが見つかった。International Cyber Digestは11月4日にこの発見を増幅し、スキャン活動とUbuntuのより遅いパッチ適用スケジュールに言及した。

Canonicalはその後、Ubuntu 22.04、24.04、26.04のオプトインのproposedポケットで修正済みカーネルを利用可能にしたが、まだ通常のアップデートチャネルには到達していない。Red Hatは11月1日にRHEL 8/9/10向けの修正を出荷した。Debian、Amazon Linux、その他はすでにそれより早くパッチをリリースしていた。

UmbrelOS 2.0.1は11月1日にx86デバイス向けのカーネル修正を含め、修正済みカーネルがまだ利用可能でなかったRaspberry Piではトラフィックをブロックする緩和策を適用した。実際の攻撃での悪用は確認されておらず、この脆弱性はCISAのKnown Exploited Vulnerabilitiesカタログには追加されていない。Anthropicによるリモートルートの実証は未公開のままである。

実用的な露出が最も高いのはインターネットに面したサーバーである。一般的なNATとファイアウォールの背後にあり、公開されたTCPリスナーを持たない家庭用デスクトップシステムは、はるかに影響が少ない。Linux上のLightning運用者にとって、LNDリリースは公開エクスプロイトが使用した特定のMPTCPリスナーパスを除去するが、修正済みカーネルがインストールされるまで、より広範なカーネルのバグは残る。