El equipo de seguridad de Go ha emitido una advertencia crítica tras la divulgación de CVE-2026-98432, una vulnerabilidad de uso después de liberación (use-after-free) en el kernel de Linux que afecta al manejo de conexiones TCP IPv4. Según un exploit descrito por Anthropic, los servidores que utilizan MPTCP (Multipath TCP) son vulnerables a la ejecución remota de código (RCE). Aunque el exploit específico requiere un escucha MPTCP, el error subyacente no es exclusivo de este protocolo, lo que sugiere que otros sistemas podrían estar expuestos a ataques similares.
En Go 1.24, los programas habilitan MPTCP por defecto para los sockets de escucha en Linux. Para mitigar el riesgo, los desarrolladores pueden deshabilitar MPTCP mediante la configuración GODEBUG, estableciendo "GODEBUG=multipathtcp=0" en el entorno o en el archivo go.mod. También es posible deshabilitarlo por socket individual usando net.Dialer.SetMultipathTCP y net.ListenConfig.SetMultipathTCP. Sin embargo, el equipo de seguridad advierte que esta mitigación es frágil, ya que dejar expuesto un solo escucha MPTCP mantiene el sistema vulnerable y asume erróneamente que todos los exploits dependen de MPTCP. La recomendación principal es actualizar al kernel parcheado. El equipo de Go considera prematuro cambiar el comportamiento por defecto y ha abierto una discusión técnica en go.dev/issue/82717 para evaluar futuras respuestas.