ወሳኝ የሊኑክስ ከርነል ተጋላጭነት CVE-2026-98432፡ የእርስዎን VPS እንዴት ማረጋገጥ እና ማዘመን እንደሚቻል

በጥቅምት 2026፣ ወሳኝ ተጋላጭነት፣ CVE-2026-98432 ፣ በሊኑክስ ከርነል ውስጥ ተገኝቷል፣ ይህም በሲቪኤስኤስ ሚዛን ከ10 9.8 ደረጃ ተሰጥቶታል። ይህ ገቢ ያላቸው የአይፒቪ4 TCP ግንኙነቶች እንዴት እንደሚስተናገዱ ላይ ተጽዕኖ ያሳድራል፣ እና በተወሰኑ ሁኔታዎች ውስጥ አንድ አጥቂ ወደ አገልጋይ ከርቀት የስር መዳረሻ እንዲያገኝ ያስችለዋል - የይለፍ ቃል እና ከአስተዳዳሪው ምንም እርምጃ አያስፈልግም።

ከታች የተጎዳው ማን እንደሆነ፣ አገልጋይዎን እንዴት ማረጋገጥ እንደሚችሉ እና እንዴት መጠበቅ እንደሚችሉ ነው። ሁሉም ትዕዛዞች የሚሄዱት እንደ ስርወ ወይም ከ ጋር ነው። sudo.

ተጋላጭነቱ በአጭሩ

• ምንድን ነው: በዘር ሁኔታ ምክንያት የሚመጣ የIPv4 TCP ግንኙነቶችን የሚያዘጋጅ ኮድ ውስጥ ያለ ከአጠቃቀም በኋላ ያለ ምንም ችግር። አጥቂው በልዩ ሁኔታ የተሰሩ ፓኬቶችን ወደ ማንኛውም ክፍት የTCP ወደብ ይልካል።
• የተጎዱ ከርነሎች፡ ከሊኑክስ 4.4 ጀምሮ ያለው እያንዳንዱ ስሪት፣ ይህም ማለት በተግባር እያንዳንዱን የአሁኑ ስርጭት ማለት ነው።
• IPv6 በዋናው ስህተት አይጎዳም።
• ስጋቱ ምን ያህል እውነት ነው፡- የአንትሮፒክ ተመራማሪዎች በ53 ደቂቃ ውስጥ ባለብዙ መንገድ TCP (MPTCP) በሰርቨር ላይ የስር መዳረሻ ያገኘ የስራ የብዝበዛ ሰንሰለት አሳይተዋል። የብዝበዛ ኮዱ አልታተመም።
• በዱር ውስጥ የሚፈጸሙ ጥቃቶች፡ እስከ ህዳር 1፣ 2026 ድረስ ምንም አይነት ብዝበዛ ሪፖርት አልተደረገም። ይህ በእርጋታ ለማዘመን ምክንያት ነው፣ ለሌላ ጊዜ ለማስተላለፍ ምክንያት አይደለም።

የGo አገልግሎቶች የተለየ አደጋ አላቸው። ከ Go 1.24 ጀምሮ፣ በሊኑክስ ላይ ያሉ የአገልጋይ ፕሮግራሞች በ MPTCP በኩል በወደቦች ላይ በነባሪነት ከርነል በሚፈቅድበት ጊዜ ሁሉ ያዳምጣሉ። አስተዳዳሪው አገልጋያቸው እንደዚህ አይነት ግንኙነቶችን እንደሚቀበል እንኳን ላያውቅ ይችላል። ከታዋቂ ፕሮግራሞች መካከል፣ Xray በዚህ መንገድ ይሰራል - ገንቢዎቹ MPTCPን በነባሪነት የሚያሰናክል የድንገተኛ ጊዜ ስሪት v26.10.31 አውጥተዋል።

እያንዳንዱ VPS የራሱን ከርነል ያሂዳል፣ ስለዚህ በሰርቨርዎ ውስጥ ያለውን ከርነል እራስዎ ማዘመን ያስፈልግዎታል። እኛ እራሳችን የምናባዊነት ኖዶችን እናዘምናለን።

ለስርዓትዎ ማስተካከያ አለ?

እስከ ህዳር 1፣ 2026 ድረስ ያለው ሁኔታ። ጥገናዎች በየቀኑ ማለት ይቻላል እየተደረጉ ነው - የአሁኑን ሁኔታ ለማግኘት በዚህ ጽሑፍ መጨረሻ ላይ ያሉትን አገናኞች ይመልከቱ።

ደረጃ 1. የትኛውን ከርነል እያሄዱ እንደሆነ ያረጋግጡ

የሩጫውን የከርነል ስሪት ይወቁ:

uname -r

የስሪት ቁጥሩ ብቻውን ምንም አይነግርዎትም፦ ስርጭቶች የኋላ ፖርት መሰረታዊውን ስሪት ሳይቀይሩ በራሳቸው ከርነሎች ላይ ያስተካክላል። የከርነል ጥቅል ለውጥ ሎግ መፈተሽ የበለጠ አስተማማኝ ነው - የCVE ቁጥሩን ከጠቀሰ፣ ጥገናው አስቀድሞ ተጭኗል።

ዴቢያን እና ኡቡንቱ፡

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

በዴቢያን ላይ፣ uname -v ትዕዛዙ የሩጫውን የከርነል ሙሉ የጥቅል ስሪት ያሳያል፡ ከላይ ካለው ሰንጠረዥ ጋር ያወዳድሩት።

አልማሊኑክስ፣ ሮኪ ሊኑክስ፣ አርሄል፣ ኦራክል ሊኑክስ፡

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

ትዕዛዙ ምንም ነገር ካላተመ፣ የሚሄደው ከርነል ተጋላጭ ነው።

ቀጥሎ፣ የትኞቹ አገልግሎቶች በMPTCP በኩል ግንኙነቶችን እንደሚቀበሉ ያረጋግጡ። እንደዚህ ያሉ አገልጋዮች በተጠቆመው ጥቃት ውስጥ ኢላማ ነበሩ፡

ss -lnMp

ባዶ ውጤት ማለት የMPTCP አድማጮች የሉም ማለት ነው።

ደረጃ 2. ቋሚውን ከርነል ይጫኑ

ከርነሉን ከማዘመንዎ በፊት የአገልጋይዎን ምትኬ ወይም ቅጽበታዊ ገጽ እይታ ያንሱ።

ዴቢያን 12 እና 13

ቋሚዎቹ ከርነሎች በደህንነት ማከማቻ ውስጥ ናቸው። መንቃቱን ያረጋግጡ፦

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

ምንም ነገር ካልተገኘ፣ ያክሉ security.debian.org ለመልቀቂያዎ ማከማቻ። ከዚያ ስርዓቱን ያዘምኑ፦

apt update
apt full-upgrade
reboot

ኡቡንቱ

የተስተካከሉ ከርነሎች እስካሁን አልተለቀቁም። ዝማኔዎችን ያረጋግጡ፡

apt update
apt list --upgradable | grep linux-image

አገልጋይዎ ከኡቡንቱ ፕሮ ጋር የተገናኘ ከሆነ የማስተካከያ ፕላኑን ማረጋገጥ ይችላሉ፡

pro fix CVE-2026-98432 --dry-run

ጥገናው አንዴ ከተለቀቀ በኋላ ይጫኑት እና እንደገና ያስጀምሩት፦

apt update
apt full-upgrade
reboot

እስከዚያው ድረስ፣ ከደረጃ 3 የተሰጠውን ጊዜያዊ ጥበቃ መተግበርዎን ያረጋግጡ።

አልማሊኑክስ 8፣ 9፣ 10

የተስተካከሉ ከርነሎች በአሁኑ ጊዜ የሚገኙት በሙከራ ማከማቻ ውስጥ ብቻ ነው። በምርት አገልጋይ ላይ ማድረግ ከፈለጉ ይጫኗቸው፣ እና ከማዘመንዎ በፊት ቅጽበታዊ ገጽ እይታ ማንሳትዎን ያረጋግጡ፡

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

ዳግም ከተነሳ በኋላ፣ ያወዳድሩ uname -r ከላይ ባለው ሠንጠረዥ ውስጥ ካሉት ስሪቶች ጋር። የሙከራ ፓኬጆችን መጫን የማይፈልጉ ከሆነ፣ ጊዜያዊ ጥበቃውን ይተግብሩ እና ጥገናው ወደ ዋናው ማከማቻ እስኪደርስ ይጠብቁ።

ሮኪ ሊኑክስ እና ሌሎች በRHEL ላይ የተመሰረቱ ስርዓቶች

እስካሁን ምንም ማስተካከያ የለም። በሚከተለው መንገድ መከታተል ይችላሉ፦

dnf --refresh updateinfo info --all --cves CVE-2026-98432

ማስተካከያው አንዴ ከተለቀቀ በኋላ፦

dnf update kernel
reboot

ከተዘመነ በኋላ፡ ዳግም ማስነሳት ያስፈልጋል

አዲሱ ከርነል የሚተገበረው ዳግም ከተጀመረ በኋላ ብቻ ነው። አንድ አስፈላጊ መሆኑን ለማረጋገጥ፦

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

ዳግም ከተነሳ በኋላ፣ ከደረጃ 1 ያለውን ቼክ ይድገሙት።

ደረጃ 3. ቋሚ ከርነል እስኪገኝ ድረስ ጊዜያዊ ጥበቃ

እነዚህ እርምጃዎች አደጋውን ይቀንሳሉ ነገር ግን የከርነል ዝመናን አይተኩም።

የቀስቅሴ ፓኬቶችን አግድ

ጥቃቱ በ IPv4 ራስጌ ውስጥ የአይፒ አማራጮች ያላቸው የ TCP ፓኬቶችን ይጠቀማል። በመደበኛ ትራፊክ ውስጥ ፈጽሞ አይታዩም፣ እና RFC 7126 አስቀድሞ እንዲጥሏቸው ይመክራል። ከዚህ በታች ያለው የ nftables ደንብ ሁሉንም የሚመጡ IPv4 TCP ፓኬቶችን ከአማራጮች ጋር ያስቀምጣል እና IPv6፣ UDP ወይም ICMPን አይጎዳውም። ከ ufw እና firewalld ጋር አብሮ ይሰራል።

አስቀድሞ ካልተጫነ nftables ን ይጫኑ፡

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

የደንብ ፋይል ይፍጠሩ፦

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

ከእያንዳንዱ ዳግም ማስነሳት በኋላ ደንቡ ወደነበረበት እንዲመለስ፣ የስርዓትድ አገልግሎት ይፍጠሩ፦

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

ደንቡ መጫኑን ያረጋግጡ፡

nft list table ip cve_2026_98432

የnftables አገልግሎቱን በአለም አቀፍ ደረጃ እንደገና ከጀመሩ flush ruleset ደንብ፣ ሩጥ systemctl restart cve-2026-98432 ከዚያ በኋላ.

አስፈላጊ፦ ይህንን ደንብ በCIPSO መለያዎች (SELinux ወይም Smack NetLabel) በሚጠቀሙ አውታረ መረቦች ላይ አይጠቀሙ - የአይፒ አማራጮች እዚያ በተለምዶ ጥቅም ላይ ይውላሉ። አገልጋይዎ ለሌሎች ማሽኖች ትራፊክ የሚያዞር ከሆነ፣ ደንቡ የTCP ፓኬቶቻቸውን ከአይፒ አማራጮች ጋር ያስቀምጣል።

የማይፈልጉት ከሆነ MPTCPን ያሰናክሉ

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

ይህ ቅንብር የሚከለክለው ብቻ ነው አዲስ የMPTCP ሶኬቶች እንዳይፈጠሩ። አስቀድመው እየሰሩ ያሉ አገልግሎቶች በMPTCP በኩል ማዳመጣቸውን ይቀጥላሉ፣ ስለዚህ የተዘረዘሩትን እያንዳንዱን አገልግሎት በ... እንደገና ያስጀምሩ ss -lnMp እና ውጤቱ አሁን ባዶ መሆኑን ያረጋግጡ።

በአልማሊኑክስ ላይ፣ MPTCP እራስዎ ካላነቁት በስተቀር በነባሪነት ይሰናከላል።

የMPTCP በGo ፕሮግራሞችን ያሰናክሉ

በGo 1.24 ወይም ከዚያ በኋላ ለተገነቡ አገልግሎቶች፣ MPTCPን በአካባቢ ተለዋዋጭ ማሰናከል ይችላሉ። ለምሳሌ፣ ለሚባል አገልግሎት myservice:

systemctl edit myservice

የሚከተለውን ወደሚከፈተው ፋይል ያክሉ፦

[Service]
Environment=GODEBUG=multipathtcp=0

ከዚያ አገልግሎቱን እንደገና ያስጀምሩ:

systemctl restart myservice

ኤክስሬይ አዘምን

አገልጋይዎ Xrayን የሚያሄድ ከሆነ፣ ወደ v26.10.31 ወይም ከዚያ በኋላ ያዘምኑት። ቀዳሚው ስሪት፣ v26.10.29፣ በገንቢዎቹ ተወግዷል። ይህ ዝማኔ MPTCPን ያሰናክላል ነገር ግን ከርነሉን አያስተካክለውም፣ ስለዚህ የከርነል ዝማኔ አሁንም ያስፈልጋል።

አንድ ተጨማሪ ቅንብርን ያረጋግጡ

ሁለተኛ፣ ጠባብ የብዝበዛ መንገድ ፍልሰት እንዲነቃ ይጠይቃል። በነባሪነት ጠፍቷል — እርግጠኛ ይሁኑ፦

sysctl net.ipv4.tcp_migrate_req

ትዕዛዙ ማተም አለበት 0.

ወደ አገልግሎቶችዎ መዳረሻን ይገድቡ

ከኢንተርኔት ማግኘት የማይፈልግን እያንዳንዱን የፋየርዎል ወደብ ይዝጉ። በሚቻልበት ቦታ የአስተዳደር አገልግሎቶችን - SSH፣ የቁጥጥር ፓነሎች፣ የውሂብ ጎታዎች - ለታመኑ የአይፒ አድራሻዎች ብቻ ይክፈቱ።

ደረጃ 4. ቋሚውን ከርነል ከጫኑ በኋላ

1. አገልጋዩን እንደገና ያስጀምሩ እና የተስተካከለው ከርነል እየሰራ መሆኑን ለማረጋገጥ በደረጃ 1 ያሉትን ትዕዛዞች ይጠቀሙ።
2. ጊዜያዊውን ደንብ ማስወገድ ይችላሉ፦
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. MPTCP የሚያስፈልግዎ ከሆነ ቅንብሩን ወደነበረበት ይመልሱ፡ ሰርዝ /etc/sysctl.d/99-disable-mptcp.conf ይሂዱ sysctl -w net.mptcp.enabled=1.

የሆነ ነገር ከተሳሳተ

የከርነል ዝማኔው ከተጠናቀቀ በኋላ አገልጋይዎ ካልጀመረ፣ በቁጥጥር ፓነል ውስጥ ባለው የVNC ኮንሶል በኩል ይገናኙ እና በቡት ምናሌ ውስጥ ያለውን ቀዳሚውን ከርነል ይምረጡ። ይህንን እራስዎ ማድረግ እንደሚችሉ እርግጠኛ ካልሆኑ ወይም በዝማኔው ላይ እገዛ ከፈለጉ የድጋፍ ቡድናችንን ያነጋግሩ።