Bitcoin-Lightning-Node-Betreiber, die auf die neuesten LND-Releases aktualisiert haben, sehen sich laut einem am 9. November veröffentlichten CryptoSlate-Bericht immer noch einer kritischen Sicherheitslücke gegenüber. Während die neuen LND-Binaries Multipath-TCP- (MPTCP) Listener standardmäßig deaktivieren – und damit den spezifischen Angriffsvektor schließen, der in CVE‑2026‑98432 demonstriert wurde –, bleibt der zugrunde liegende Linux-Kernel-Fehler auf vielen Hosts ungepatcht, wodurch Nodes anfällig für Remote Code Execution bleiben.

BTC / USD
Quelle: CoinGecko. Kurse sind Richtwerte.

LND-Update blockiert den bekannten Exploit-Vektor

Die LND-Releases vom 30. Oktober (v0.20.7‑beta und v0.21.6‑beta) entfernen die standardmäßigen MPTCP-Listener, die Go 1.24 auf Linux aktiviert hatte. Diese Änderung stoppt den demonstrierten Exploit-Pfad, der einen MPTCP-Listener nutzte, um den Kernel-Memory-Corruption-Bug auszulösen. CryptoSlate merkt an, dass die Beschränkung auf die eigenen Ports von LND (Peer, gRPC und REST) beschränkt ist und andere Dienste, die auf demselben System möglicherweise immer noch MPTCP exponieren, nicht adressiert werden.

Die Kernel-Schwachstelle bleibt kritisch

Der als CVE‑2026‑98432 erfasste Fehler betrifft die Wiederverwendung von freigegebenem Speicher während der IPv4-TCP-Verarbeitung und hat eine CVSS-3.1-Bewertung von 9.8, was ihn als kritisch einstuft. Der Security-Tracker von Ubuntu listet die Standard-Kernel-Pakete für 22.04 LTS und 24.04 LTS weiterhin als anfällig, wobei Patches Anfang November nur im -proposed-Repository verfügbar waren. Canonical hat mitgeteilt, dass vollständige Kernel-Updates bevorstehen, rät Betreibern jedoch, die genaue Kernel-Version auf ihren Systemen zu überprüfen.

Maßnahmen zur Minderung für Lightning-Betreiber

CryptoSlate skizziert einen dreiteiligen Ansatz zur Risikominderung: (1) Aktualisierung auf das neueste LND-Binary, (2) Deaktivierung von MPTCP auf Host-Ebene mit dem sysctl-Befehl `net.mptcp.enabled=0` (oder Setzen der Go-Umgebungsvariablen `GODEBUG=multipathtcp=0` für sofortige Abhilfe) und (3) Anwendung des gepatchten Ubuntu-Kernels, sobald er den -updates-Kanal erreicht hat, sowie Neustart. Betreiber, die Docker verwenden, müssen auch die Netzwerk-Namespace-Einstellungen des Containers anpassen, da Host-Ebenen-Änderungen nicht automatisch auf Container übertragen werden.

Was als Nächstes zu beobachten ist

Zu den nächsten Entwicklungen, die zu beobachten sind, zählen der Veröffentlichungszyklus von Canonical für den Kernel-Fix über alle Ubuntu-Varianten hinweg, mögliche öffentliche Enthüllungen von Exploit-Versuchen gegen Lightning-Nodes und potenzielle Upstream-Patches von der Linux-Kernel-Community, die die Schwachstelle außerhalb von distributionspezifischen Updates adressieren könnten.