Kritieke Linux-kern-kwesbaarheid CVE-2026-98432: Hoe om jou VPS na te gaan en op te dateer

In Oktober 2026 is 'n kritieke kwesbaarheid, CVE-2026-98432 , in die Linux-kern gevind, met 'n gradering van 9.8 uit 10 op die CVSS-skaal. Dit beïnvloed hoe inkomende IPv4 TCP-verbindings hanteer word en laat 'n aanvaller onder sekere omstandighede toe om op afstand worteltoegang tot 'n bediener te verkry – sonder 'n wagwoord en sonder enige aksie van die administrateur.

Hieronder is wie geraak word, hoe om jou bediener na te gaan en hoe om dit te beskerm. Alle opdragte word as root of met [naam van die bediener] uitgevoer. sudo.

Die kwesbaarheid in kort

• Wat dit is: 'n "use-after-free"-fout in die kode wat IPv4 TCP-verbindings opstel, veroorsaak deur 'n wedlooptoestand. Die aanvaller stuur spesiaal vervaardigde pakkies na enige oop TCP-poort.
• Geaffekteerde pitte: elke weergawe sedert Linux 4.4, wat feitlik elke huidige verspreiding beteken.
• IPv6 word nie deur die hooffout beïnvloed nie.
• Hoe werklik die bedreiging is: Antropiese navorsers het 'n werkende aanvalsketting gedemonstreer wat binne ongeveer 53 minute worteltoegang op 'n bediener met Multipath TCP (MPTCP) geaktiveer verkry het. Die aanvalskode is nog nie gepubliseer nie.
• Aanvalle in die natuur: Vanaf 1 November 2026 is geen uitbuiting aangemeld nie. Dit is 'n rede om kalm op te dateer, nie 'n rede om dit uit te stel nie.

Go-dienste dra 'n aparte risiko. Sedert Go 1.24 luister bedienerprogramme op Linux standaard op poorte via MPTCP wanneer die kern dit toelaat. 'n Administrateur weet dalk nie eers dat hul bediener sulke verbindings aanvaar nie. Onder gewilde programme werk Xray so - die ontwikkelaars daarvan het reeds 'n noodweergawe, v26.10.31, vrygestel wat MPTCP standaard deaktiveer.

Elke VPS gebruik sy eie kern, so jy moet die kern binne jou bediener self opdateer. Ons werk die virtualiseringsnodusse self op.

Is daar 'n oplossing vir jou stelsel?

Status soos op 1 November 2026. Regstellings word amper daagliks aangebied — kyk na die skakels aan die einde van hierdie artikel vir die huidige status.

Stap 1. Kontroleer watter kern jy gebruik

Vind uit die weergawe van die lopende kern:

uname -r

Die weergawenommer alleen sê niks vir jou nie: verspreidings herstruktureer regstellings na hul eie kern sonder om die basisweergawe te verander. Dit is meer betroubaar om die kernpakket se veranderingslogboek na te gaan — as dit die CVE-nommer noem, is die regstelling reeds geïnstalleer.

Debian en Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Op Debian, die uname -v Die opdrag wys ook die volledige pakketweergawe van die lopende kern: vergelyk dit met die tabel hierbo.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

As die opdrag niks druk nie, is die lopende kern kwesbaar.

Gaan vervolgens na watter dienste verbindings via MPTCP aanvaar. Bedieners soos hierdie was die teiken in die gedemonstreerde aanval:

ss -lnMp

Leë uitvoer beteken dat daar geen MPTCP-luisteraars is nie.

Stap 2. Installeer die vaste kern

Neem 'n rugsteun of momentopname van jou bediener voordat jy die kern opdateer.

Debian 12 en 13

Die vaste kernels is in die sekuriteitsbewaarplek. Maak seker dat dit geaktiveer is:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Indien niks gevind word nie, voeg die security.debian.org bewaarplek vir jou vrystelling. Dateer dan die stelsel op:

apt update
apt full-upgrade
reboot

Ubuntu

Vaste kernels is nog nie vrygestel nie. Kyk vir opdaterings:

apt update
apt list --upgradable | grep linux-image

As jou bediener aan Ubuntu Pro gekoppel is, kan jy die herstelplan nagaan:

pro fix CVE-2026-98432 --dry-run

Sodra die oplossing vrygestel is, installeer dit en herbegin:

apt update
apt full-upgrade
reboot

Tot dan, maak seker dat jy die tydelike beskerming van Stap 3 toepas.

AlmaLinux 8, 9, 10

Vaste kernels is tans slegs in die toetsbewaarplek beskikbaar. Installeer hulle as jy gemaklik is om dit op 'n produksiebediener te doen, en maak seker dat jy 'n momentopname neem voordat jy opdateer:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Na herbegin, vergelyk uname -r met die weergawes in die tabel hierbo. Indien u liewer nie toetspakkette wil installeer nie, pas die tydelike beskerming toe en wag vir die regstelling om die hoofbewaarplek te bereik.

Rocky Linux en ander RHEL-gebaseerde stelsels

Daar is nog geen oplossing nie. Jy kan daarvoor oplet met:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Sodra die regstelling vrygestel is:

dnf update kernel
reboot

Na opdatering: 'n herlaai is nodig

Die nuwe kern tree eers in werking na 'n herlaai. Om te kyk of een nodig is:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Na herbegin, herhaal die kontrole vanaf Stap 1.

Stap 3. Tydelike beskerming totdat 'n vaste kern beskikbaar is

Hierdie maatreëls verminder die risiko, maar vervang nie 'n kernopdatering nie.

Blokkeer die snellerpakkette

Die aanval gebruik TCP-pakkette met IP-opsies in die IPv4-koptekst. Hulle verskyn feitlik nooit in normale verkeer nie, en RFC 7126 beveel reeds aan dat hulle verwyder word. Die nftables-reël hieronder verwyder alle inkomende IPv4 TCP-pakkette met opsies en beïnvloed nie IPv6, UDP of ICMP nie. Dit werk saam met ufw en firewalld.

Installeer nftables indien dit nie reeds geïnstalleer is nie:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Skep die reëllêer:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Om die reël na elke herlaai te herstel, skep 'n systemd-diens:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Maak seker dat die reël gelaai is:

nft list table ip cve_2026_98432

As jy die nftables-diens herbegin met 'n globale flush ruleset reël, hardloop systemctl restart cve-2026-98432 daarna.

Belangrik: moenie hierdie reël toepas op netwerke wat CIPSO-etikette (SELinux of Smack NetLabel) gebruik nie — IP-opsies word normaalweg daar gebruik. As jou bediener verkeer vir ander masjiene stuur, sal die reël ook hul TCP-pakkette met IP-opsies laat val.

Deaktiveer MPTCP as jy dit nie nodig het nie

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Hierdie instelling verhoed slegs nuwe MPTCP-sokke word nie geskep nie. Dienste wat reeds loop, sal aanhou luister via MPTCP, so herbegin elke diens wat gelys word deur ss -lnMp en maak seker dat die uitvoer nou leeg is.

Op AlmaLinux is MPTCP standaard gedeaktiveer tensy jy dit self geaktiveer het.

Deaktiveer MPTCP in Go-programme

Vir dienste wat met Go 1.24 of later gebou is, kan jy MPTCP met 'n omgewingveranderlike deaktiveer. Byvoorbeeld, vir 'n diens genaamd myservice:

systemctl edit myservice

Voeg die volgende by die lêer wat oopmaak:

[Service]
Environment=GODEBUG=multipathtcp=0

Herbegin dan die diens:

systemctl restart myservice

Opdatering van X-straal

As jou bediener Xray gebruik, werk dit op na v26.10.31 of later. Die vorige weergawe, v26.10.29, is deur die ontwikkelaars teruggetrek. Hierdie opdatering deaktiveer MPTCP, maar herstel nie die kern nie, dus is 'n kernopdatering steeds nodig.

Gaan nog een instelling na

'n Tweede, nouer ontginningspad vereis dat versoekmigrasie geaktiveer is. Dit is standaard afgeskakel — maak seker daarvan:

sysctl net.ipv4.tcp_migrate_req

Die opdrag moet druk 0.

Beperk toegang tot jou dienste

Maak elke firewallpoort toe wat nie vanaf die internet bereikbaar hoef te wees nie. Waar moontlik, maak administratiewe dienste – SSH, beheerpanele, databasisse – slegs oop vir vertroude IP-adresse.

Stap 4. Na die installering van die vaste kern

1. Herbegin die bediener en gebruik die opdragte van Stap 1 om te bevestig dat die herstelde kern loop.
2. Jy kan die tydelike reël verwyder:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. As jy MPTCP benodig, herstel die instelling: verwyder /etc/sysctl.d/99-disable-mptcp.conf en hardloop sysctl -w net.mptcp.enabled=1.

As iets verkeerd loop

Indien u bediener nie na die kernopdatering selflaai nie, koppel via die VNC-konsole in die beheerpaneel en kies die vorige kern in die selflaaikieslys. Indien u nie seker is of u dit self kan doen nie, of hulp met die opdatering benodig, kontak ons ​​ondersteuningspan.