Sophos Firewall: kernellek CVE-2026-98432 verhelpen met hotfix

Sophos heeft een kernelhotfix beschikbaar gesteld voor CVE-2026-98432. Voor de bedrijfsvoering is één punt doorslaggevend: een gedownloade update beschermt de firewall pas na de vereiste herstart. Wie op de automatische distributie van hotfixes vertrouwt, moet daarom de installatiestatus controleren en een onderhoudsvenster inplannen.

Dit artikel maakt onderscheid tussen de technische kwetsbaarheid en de concrete updateprocedure voor Sophos-apparaten. Bronnen gecontroleerd op: 11 november 2026. De gelinkte fabrikantpagina’s kunnen later meer firmwareversies toevoegen.

Welke Sophos-versies verdienen aandacht?

Voor de volgende producten en SFOS-versies zijn deze oplossingen beschikbaar:

Dit is een tabel met beschikbare oplossingen, geen volledige lijst van alle kwetsbare builds. Sophos publiceert daar geen complete matrix met de eerste en laatste kwetsbare SFOS-versie. Een ontbrekende vermelding in de tabel betekent dus niet dat een versie veilig is. Dat geldt bijvoorbeeld bij het beoordelen van een installatie met SFOS 21.5 of 22.0 MR2.

Voor een versiewissel moeten het ondersteunde upgradepad en de hardwarecompatibiliteit worden gecontroleerd. Het artikel over SFOS 22.0 MR3 licht de maintenance release toe; het overzicht van Sophos Firewall v23 beschrijft de nieuwe hoofdversie. Voor een productieomgeving moet bewust een geschikte, vrijgegeven versie worden gekozen. Dat EAP1 een hotfix ontvangt, is geen reden om voor deze correctie naar een voorlopige versie over te stappen.

Hoe kan het kernellek worden misbruikt?

CVE-2026-98432 betreft een use-after-free-fout in de IPv4-TCP-verwerking van de Linux-kernel. Daarbij benadert een verwerkingspad geheugen dat al is vrijgegeven. De onderliggende race condition ontstaat door de volgende parallelle processen:

1. Tijdens het opzetten van een TCP-verbinding worden IPv4-optiegegevens tussen interne socketstructuren doorgegeven.
2. Tegelijk kan een andere processorkern een opnieuw ontvangen SYN verwerken en een SYN-ACK-antwoord voorbereiden.
3. Als de bijbehorende structuur ondertussen wordt vrijgegeven, kan de parallelle verwerking de optiegegevens nog steeds benaderen.

Een race condition is een fout waarvan het optreden afhangt van de timing tussen parallelle processen. Voor een geslaagde aanval moeten netwerkverwerking en geheugentoestand op de juiste manier samenvallen. Het opzetten van een gewone verbinding bewijst daarom op zichzelf geen geslaagd misbruik.

Onder bepaalde omstandigheden is volgens Sophos uitvoering van code op afstand zonder authenticatie en met kernelrechten mogelijk. De openbaar beschreven laboratoriumdemonstratie slaagde tegen een server met een Multipath TCP-listener (MPTCP). Dit is geen gepubliceerd bewijs van een geslaagde overname van een Sophos Firewall. Evenmin kan daaruit worden afgeleid dat alleen het uitschakelen van MPTCP de onderliggende kwetsbaarheid verhelpt.

Sophos classificeert zijn melding als High en noemt verschillende CVSS-scores: 9,8 van de Linux-kernel-CNA, 5,9 van Red Hat vanwege de race condition. Volgens de laatst op 6 november bijgewerkte melding waren bij Sophos geen openbare berichten over actief misbruik bekend. Die gedateerde uitspraak garandeert niet dat aanvallen uitblijven.

In de praktijk moeten bereikbaarheid en patchstatus afzonderlijk worden beoordeeld. Beperkte beheerstoegang is zinvol, maar bewijst niet dat de getroffen kernelverwerking onbereikbaar is. Ook een geslaagde aanmelding met MFA zegt niets over de bescherming tegen een aanval zonder authenticatie.

Instructies: de hotfix op de firewall installeren

1. Onderhoud voorbereiden

Voor de ingreep een actuele configuratieback-up maken en de herstelmogelijkheden vaststellen. Voor locaties op afstand moet een alternatieve beheerverbinding of een bereikbare contactpersoon ter plaatse worden ingepland. Dat is vooral belangrijk als de enige verbinding met de firewall via de VPN-tunnel loopt die tijdens de herstart wordt onderbroken.

Voor de controle achteraf een korte lijst van bedrijfskritische verbindingen opstellen: internettoegang, DNS, site-to-site-VPN, toegang op afstand en gepubliceerde applicaties. Een geslaagde ping na het onderhoud vervangt geen functionele test van deze diensten.

Als een andere dan de hierboven genoemde SFOS-versie actief is, eerst de firmware-upgrade plannen. De bediening staat beschreven in de instructies voor het bijwerken van SFOS-firmware. De upgrade en de installatie van de hotfix als afzonderlijke stappen inplannen.

2. Download en installatie controleren

1. Aanmelden in WebAdmin en in Control center zoeken naar de melding over de gedownloade kernelhotfix waarvoor een herstart nodig is.

2. Als automatische hotfixes zijn uitgeschakeld, in de CLI 4 – Device Console openen en deze inschakelen:

   system hotfix enable
   

3. Wachten op de download. Na een noodzakelijke firmware-upgrade moet de hotfix pas daarna beschikbaar komen; voor toepassing is nog een herstart nodig.

4. De firewall tijdens het onderhoudsvenster opnieuw opstarten. Daarbij wordt het dataverkeer onderbroken.

5. Daarna in de Device Console controleren:

   system hotfix list
   

Doorslaggevend is de vermelding HF110626.1 met de status Installed. Alleen de aanwezigheid van de hotfix in de lijst is niet voldoende. In SFOS 23.0 kan de pagina Hotfix: Security updates ondanks een geslaagde installatie nog leeg zijn; Sophos verwijst voor dat geval naar de CLI-controle.

3. Resultaat documenteren

Als operationeel bewijs moeten apparaatnaam, SFOS-versie, onderhoudstijdstip en de gecontroleerde hotfixstatus worden vastgelegd. Daarna de voorbereide verbindingstests uitvoeren. Zo wordt onderscheid gemaakt tussen een geslaagde installatie en herstelde bedrijfsprocessen.

Als de hotfix ontbreekt of de status onduidelijk blijft, het onderhoud niet als afgerond registreren. Eerst de firmwareversie, hotfixinstelling en downloadmelding met elkaar vergelijken. Bij aanhoudende problemen de fabrikantondersteuning met deze gegevens inschakelen. Herhaaldelijk opnieuw opstarten zonder nieuwe inzichten is geen betrouwbare manier om storingen te verhelpen.

HA-cluster: beide apparaten bijwerken

Sophos schrijft een vaste volgorde voor: de downloadmelding op beide apparaten controleren, eerst het Auxiliary-apparaat opnieuw opstarten, wachten tot het weer beschikbaar is en daarna het Primary-apparaat opnieuw opstarten. Beide apparaten hebben de hotfix nodig. De CLI-opdracht voor de hotfixlijst is volgens de instructies momenteel alleen beschikbaar op het apparaat dat op dat moment Primary is.

Ook bij beheer via Sophos Fusion moet rekening worden gehouden met het Auxiliary-apparaat. Na de failover kan de melding opnieuw verschijnen, omdat deze betrekking heeft op het andere apparaat dat nu actief is.

Voor de tweede herstart moet bovendien worden gecontroleerd of het partnerapparaat weer bedrijfsklaar is en het cluster een gezonde status heeft. Een HA-paar is geen reden om het onderhoud als gegarandeerd onderbrekingsvrij aan te kondigen: failover en sessiegedrag moeten in de planning worden meegenomen. Voor de afronding beide apparaten afzonderlijk in het onderhoudsrapport vastleggen en de applicaties via het cluster testen.

SD-RED 20 en SD-RED 60 afzonderlijk bijwerken

De firewallhotfix vervangt de RED-update niet. Voor SD-RED 20 en SD-RED 60 noemt Sophos de op 5 november uitgebrachte firmware 3.0.012:

1. In WebAdmin Backup & Firmware > Pattern Updates openen.
2. Als de SD-RED-firmware ouder is dan 3.0.012, Update Pattern Now uitvoeren.
3. Met Install de firmware naar de verbonden SD-RED-apparaten distribueren. Deze starten tijdens de installatie opnieuw op.

Voor de distributie noemt Sophos als vereisten SFOS 20.0 MR3 en nieuwer respectievelijk SFOS 21.0 MR1 en nieuwer. Deze gegevens betreffen de distributie van de RED-update en mogen niet worden verward met de doelversies van de firewallhotfix. Oude RED-modellen waarvan de ondersteuning is beëindigd, ontvangen deze correctie niet.

Voor elke externe locatie moet na de herstart een applicatie via de RED-verbinding worden getest. Bij meerdere apparaten helpt een locatielijst met firmwareversie en testresultaat: één met succes bijgewerkt apparaat bewijst niet de status van alle andere locaties.

Veelgestelde vragen over het onderhoud

Is een herstart zonder zichtbare hotfixmelding voldoende?

Een herstart alleen is geen betrouwbaar bewijs van installatie. Voor de afronding telt de gecontroleerde status van HF110626.1. Ontbreekt dit bewijs, dan blijft de installatie onbevestigd.

Kunnen Linux-workarounds op de Sophos Firewall worden toegepast?

Voor Sophos-apparaten moet de procedure van de fabrikant worden gevolgd. Sophos maakt uitdrukkelijk onderscheid tussen zijn algemene Linux-instructies en de productspecifieke oplossing. Eigen kernelparameters of pakketfilterwijzigingen uit een Linux-handleiding moeten daarom niet op de appliance worden overgenomen.

Bronnen

• Sophos: hotfix voor CVE-2026-98432 – installatie en controle
• Ubuntu: technische beschrijving van CVE-2026-98432
• Sophos: beveiligingsmelding over CVE-2026-98432
• Sophos: SD-RED-firmware 3.0.012 voor CVE-2026-98432