{"id":6350,"date":"2026-10-31T02:04:11","date_gmt":"2026-10-31T02:04:11","guid":{"rendered":"https:\/\/bitcoinlive24.com\/news\/lnd-falla-kernel-linux-mptcp\/"},"modified":"2026-10-31T02:04:11","modified_gmt":"2026-10-31T02:04:11","slug":"lnd-falla-kernel-linux-mptcp","status":"publish","type":"post","link":"https:\/\/bitcoinlive24.com\/news\/lnd-falla-kernel-linux-mptcp\/","title":{"rendered":"LND 0.21.6: aggiornamento urgente per la falla del kernel Linux"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\"><strong>LND 0.21.6<\/strong>, il software per nodi Lightning di Lightning Labs, \u00e8 uscito il 30 ottobre 2026 con un avviso di sicurezza in cima alle note di rilascio: il difetto non \u00e8 in LND ma nel kernel Linux, ed \u00e8 tracciato come <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-98432\" target=\"_blank\" rel=\"noopener\">CVE-2026-98432<\/a>. La nuova versione disattiva per impostazione predefinita i listener MPTCP (Multipath TCP, una variante del protocollo TCP che usa pi\u00f9 percorsi di rete insieme), la via usata dall&#8217;exploit dimostrato. Per il team di LND si tratta di una mitigazione e non di una correzione: l&#8217;unico rimedio vero \u00e8 un kernel aggiornato. Lo segnala <strong>BitcoinLive24<\/strong> perch\u00e9 riguarda chiunque gestisca un nodo Lightning su Linux.<\/p>\n\n\n\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 counter-hierarchy ez-toc-counter ez-toc-transparent ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Table of Contents<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Toggle Table of Content\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/bitcoinlive24.com\/news\/lnd-falla-kernel-linux-mptcp\/#LND_0216_e_la_falla_del_kernel_Linux_cosa_e_successo\" >LND 0.21.6 e la falla del kernel Linux: cosa \u00e8 successo<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/bitcoinlive24.com\/news\/lnd-falla-kernel-linux-mptcp\/#Perche_e_importante_per_chi_gestisce_un_nodo_Lightning\" >Perch\u00e9 \u00e8 importante per chi gestisce un nodo Lightning<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/bitcoinlive24.com\/news\/lnd-falla-kernel-linux-mptcp\/#Le_reazioni_Go_e_LND_parlano_di_mitigazione_non_di_cura\" >Le reazioni: Go e LND parlano di mitigazione, non di cura<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/bitcoinlive24.com\/news\/lnd-falla-kernel-linux-mptcp\/#Cosa_aspettarsi_nei_prossimi_giorni\" >Cosa aspettarsi nei prossimi giorni<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/bitcoinlive24.com\/news\/lnd-falla-kernel-linux-mptcp\/#Domande_frequenti_su_LND_0216_e_CVE-2026-98432\" >Domande frequenti su LND 0.21.6 e CVE-2026-98432<\/a><\/li><\/ul><\/nav><\/div>\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"LND_0216_e_la_falla_del_kernel_Linux_cosa_e_successo\"><\/span>LND 0.21.6 e la falla del kernel Linux: cosa \u00e8 successo<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">LND 0.21.6-beta \u00e8 stato pubblicato su GitHub alle 23:21 UTC del 30 ottobre 2026, poco dopo la 0.20.7-beta (22:37 UTC), che riporta lo stesso avviso. Secondo le <a href=\"https:\/\/github.com\/lightningnetwork\/lnd\/blob\/master\/docs\/release-notes\/release-notes-0.21.6.md\" target=\"_blank\" rel=\"noopener\">note di rilascio<\/a>, il comportamento di fondo \u00e8 questo: le versioni 0.21.x, compilate con Go 1.24 o successivo, aprivano per impostazione predefinita listener MPTCP sulle porte dei peer, di gRPC e di REST. Da questa versione LND torna al TCP semplice.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La falla del kernel \u00e8 un use-after-free (l&#8217;uso di memoria gi\u00e0 liberata) nella gestione dell&#8217;handshake TCP su IPv4. La descrizione nella <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-98432\" target=\"_blank\" rel=\"noopener\">scheda NVD<\/a> spiega che un SYN ritrasmesso, in corsa con l&#8217;elaborazione del primo, pu\u00f2 far liberare il socket figlio mentre il kernel sta ancora costruendo la risposta SYNACK. La scheda \u00e8 stata pubblicata il 15 ottobre 2026 e riporta un punteggio CVSS 3.1 di 9,8 su 10, assegnato da una fonte secondaria; al 31 ottobre lo stato \u00e8 \u00abReceived\u00bb, cio\u00e8 l&#8217;analisi NVD non \u00e8 conclusa.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">L&#8217;allarme per i nodi nasce dall&#8217;annuncio del Go Security Team, rilanciato il 30 ottobre sulla lista <a href=\"https:\/\/www.openwall.com\/lists\/oss-security\/2026\/10\/30\/1\" target=\"_blank\" rel=\"noopener\">oss-security<\/a>: l&#8217;exploit dimostrato, descritto da Anthropic, ottiene l&#8217;esecuzione di codice da remoto su un server con un listener MPTCP, e dalla versione 1.24 i programmi Go abilitano MPTCP sui socket in ascolto su Linux. Windows e macOS, precisano le note di LND, non sono interessati.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Perche_e_importante_per_chi_gestisce_un_nodo_Lightning\"><\/span>Perch\u00e9 \u00e8 importante per chi gestisce un nodo Lightning<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Un nodo LND pubblico ha porte raggiungibili da chiunque. Secondo la segnalazione su GitHub (<a href=\"https:\/\/github.com\/lightningnetwork\/lnd\/issues\/11455\" target=\"_blank\" rel=\"noopener\">issue 11455<\/a>), aperta il 30 ottobre da un utente che ha verificato il problema su LND 0.21.4 con Ubuntu 22.04, i nodi annunciano il proprio indirizzo nel gossip, quindi un elenco di nodi con listener MPTCP sulla porta 9735 si ricava facilmente. Sempre secondo quella segnalazione, l&#8217;impatto \u00e8 a livello di kernel, non si limita all&#8217;utente con cui gira LND e i container non bastano a contenerlo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Non \u00e8 una vulnerabilit\u00e0 del protocollo Bitcoin n\u00e9 di Lightning, e le fonti consultate non parlano di fondi sottratti. Il rischio descritto riguarda la sicurezza della macchina che ospita il nodo.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Le_reazioni_Go_e_LND_parlano_di_mitigazione_non_di_cura\"><\/span>Le reazioni: Go e LND parlano di mitigazione, non di cura<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il Go Security Team scrive che la soluzione migliore \u00e8 installare un kernel corretto. Aggiunge che il bug non \u00e8 specifico di MPTCP e che sistemi senza listener MPTCP potrebbero essere vulnerabili ad attacchi simili; disattivare MPTCP programma per programma \u00e8, nelle sue parole, una mitigazione \u00abfragile\u00bb, perch\u00e9 basta dimenticare un solo listener esposto. Per ora il team ritiene prematuro cambiare il comportamento predefinito di Go.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Le note di LND seguono la stessa linea e indicano tre passi, da eseguire in ordine.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Passo<\/th><th>Cosa fare<\/th><th>Perch\u00e9<\/th><\/tr><\/thead><tbody><tr><td>1<\/td><td>Aggiornare a LND 0.21.6 (o 0.20.7)<\/td><td>LND non apre pi\u00f9 listener MPTCP: chiude il percorso dell&#8217;exploit dimostrato<\/td><\/tr><tr><td>2<\/td><td>Eseguire <code>sudo sysctl -w net.mptcp.enabled=0<\/code><\/td><td>Protegge anche gli altri servizi sulla stessa macchina; con Docker serve <code>--sysctl net.mptcp.enabled=0<\/code><\/td><\/tr><tr><td>3<\/td><td>Installare un kernel corretto appena la distribuzione lo rilascia<\/td><td>\u00c8 l&#8217;unica correzione vera della falla<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Fonte della tabella: le <a href=\"https:\/\/github.com\/lightningnetwork\/lnd\/blob\/master\/docs\/release-notes\/release-notes-0.21.6.md\" target=\"_blank\" rel=\"noopener\">note di rilascio di LND 0.21.6<\/a> e la <a href=\"https:\/\/github.com\/lightningnetwork\/lnd\/releases\/tag\/v0.21.6-beta\" target=\"_blank\" rel=\"noopener\">pagina della release<\/a>. Per verificare, le note suggeriscono <code>sudo ss -Mlnp | grep lnd<\/code>, che non deve stampare nulla. Chi non pu\u00f2 aggiornare subito pu\u00f2 avviare il binario esistente con <code>GODEBUG=multipathtcp=0<\/code>, senza riattivare MPTCP finch\u00e9 il kernel non \u00e8 corretto.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Cosa_aspettarsi_nei_prossimi_giorni\"><\/span>Cosa aspettarsi nei prossimi giorni<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Secondo la segnalazione su GitHub, al 30 ottobre i kernel corretti per Ubuntu 22.04 e 24.04 non erano ancora disponibili. Fino ad allora restano le mitigazioni: MPTCP disattivato sull&#8217;host e, secondo la <a href=\"https:\/\/github.com\/lightningnetwork\/lnd\/issues\/11455\" target=\"_blank\" rel=\"noopener\">issue 11455<\/a>, una regola firewall che scarta i pacchetti TCP IPv4 con opzioni IP, valida per tutti i servizi della macchina, Docker compreso. Le fonti consultate riguardano solo LND.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">BitcoinLive24 si era occupata di recente di <a href=\"https:\/\/bitcoinlive24.com\/news\/lnd-tetto-stime-fee-esterne\/\" target=\"_blank\" rel=\"noopener\">LND 0.21.5-rc1 e del tetto alle stime di fee<\/a>, della <a href=\"https:\/\/bitcoinlive24.com\/news\/core-lightning-crash-annuncio-canale\/\" target=\"_blank\" rel=\"noopener\">falla che mandava in crash Core Lightning<\/a> e delle <a href=\"https:\/\/bitcoinlive24.com\/news\/eclair-lightning-falle-dos-nodi-aggiornamento\/\" target=\"_blank\" rel=\"noopener\">due falle DoS di Eclair<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"https:\/\/bitcoinlive24.com\" target=\"_blank\" rel=\"noopener\">Scarica l&#8217;app BitcoinLive24<\/a> per ricevere le novit\u00e0 sulla sicurezza della Lightning Network.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Domande_frequenti_su_LND_0216_e_CVE-2026-98432\"><\/span>Domande frequenti su LND 0.21.6 e CVE-2026-98432<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Cos&#8217;\u00e8 CVE-2026-98432?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">\u00c8 una vulnerabilit\u00e0 use-after-free nella gestione TCP su IPv4 del kernel Linux, pubblicata il 15 ottobre 2026 con punteggio CVSS 3.1 di 9,8 su 10. Non riguarda il codice di LND: l&#8217;exploit dimostrato richiede un listener MPTCP, che i programmi Go dalla versione 1.24 abilitano per impostazione predefinita su Linux.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Aggiornare LND basta a mettere al sicuro il nodo?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No. L&#8217;aggiornamento a 0.21.6 chiude il percorso dell&#8217;exploit dimostrato attraverso LND, ma secondo le sue note \u00e8 una mitigazione. Servono anche MPTCP disattivato sull&#8217;host e, appena disponibile, un kernel corretto.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Chi usa Windows o macOS \u00e8 a rischio?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No, secondo le note di rilascio di LND: Windows e macOS non sono interessati. La falla \u00e8 nel kernel Linux.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>LND 0.21.6, il software per nodi Lightning di Lightning Labs, \u00e8 uscito il 30 ottobre 2026 con un avviso di sicurezza in cima alle note&#8230;<\/p>\n","protected":false},"author":4,"featured_media":6145,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[608],"tags":[],"class_list":["post-6350","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novita"],"_links":{"self":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/6350","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/comments?post=6350"}],"version-history":[{"count":0,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/6350\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media\/6145"}],"wp:attachment":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media?parent=6350"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/categories?post=6350"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/tags?post=6350"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}