ثغرة أمنية خطيرة في نواة لينكس CVE-2026-98432: كيفية فحص وتحديث خادمك الافتراضي الخاص

في أكتوبر 2026، تم اكتشاف ثغرة أمنية خطيرة، CVE-2026-98432 ، في نواة نظام لينكس، وحصلت على تصنيف 9.8 من 10 على مقياس CVSS. تؤثر هذه الثغرة على كيفية معالجة اتصالات TCP الواردة عبر بروتوكول IPv4، وفي ظل ظروف معينة، تسمح للمهاجم بالوصول إلى صلاحيات الجذر على الخادم عن بُعد - دون الحاجة إلى كلمة مرور أو أي إجراء من جانب المسؤول.

فيما يلي قائمة بالجهات المتأثرة، وكيفية فحص خادمك، وكيفية حمايته. يتم تشغيل جميع الأوامر بصلاحيات المستخدم الجذر أو باستخدام sudo.

نقطة الضعف باختصار

• ما هو : ثغرة "استخدام بعد التحرير" في الكود المسؤول عن إنشاء اتصالات TCP عبر بروتوكول IPv4، ناجمة عن حالة تنافس. يقوم المهاجم بإرسال حزم بيانات مصممة خصيصًا إلى أي منفذ TCP مفتوح.
• الحبوب المتأثرة: كل إصدار منذ لينكس 4.4، مما يعني عمليًا كل توزيعة حالية.
• IPv6 لا يتأثر بالخلل الرئيسي.
• مدى واقعية التهديد: أظهر باحثون في مجال الأنثروبولوجيا سلسلة استغلال فعّالة مكّنتهم من الوصول إلى صلاحيات الجذر على خادم مُفعّل عليه بروتوكول TCP متعدد المسارات (MPTCP) في غضون 53 دقيقة تقريبًا. ولم يُنشر رمز الاستغلال.
• الهجمات في البرية: حتى تاريخ 1 نوفمبر 2026، لم يتم الإبلاغ عن أي استغلال. وهذا سبب يدعو إلى التحديث بهدوء، وليس سبباً لتأجيله.

تُشكّل خدمات Go مخاطرةً إضافية. فمنذ إصدار Go 1.24، تستمع برامج الخوادم على نظام Linux إلى المنافذ عبر بروتوكول MPTCP افتراضيًا كلما سمحت نواة النظام بذلك. وقد لا يعلم مدير النظام حتى أن خادمه يقبل مثل هذه الاتصالات. ومن بين البرامج الشائعة، يعمل برنامج Xray بهذه الطريقة، وقد أصدر مطوروه بالفعل إصدارًا طارئًا، v26.10.31، يُعطّل بروتوكول MPTCP افتراضيًا.

كل خادم افتراضي خاص (VPS) يعمل بنواة خاصة به، لذا عليك تحديث النواة داخل خادمك بنفسك. نقوم بتحديث عقد المحاكاة الافتراضية بأنفسنا.

هل يوجد حل لنظامك؟

الحالة اعتبارًا من 1 نوفمبر 2026. يتم إصدار التحديثات بشكل شبه يومي - تحقق من الروابط الموجودة في نهاية هذه المقالة لمعرفة الحالة الحالية.

الخطوة 1. تحقق من نوع النواة التي تستخدمها

تعرف على إصدار النواة قيد التشغيل:

uname -r

لا يُفيدك رقم الإصدار وحده بشيء: إذ تُدمج توزيعات لينكس الإصلاحات في أنويتها دون تغيير الإصدار الأساسي. من الأفضل مراجعة سجل تغييرات حزمة النواة؛ فإذا ذُكر فيه رقم CVE، فهذا يعني أن الإصلاح مُثبّت بالفعل.

ديبيان وأوبونتو:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

في نظام ديبيان، uname -v يعرض الأمر أيضًا إصدار الحزمة الكامل لنواة التشغيل: قارنه بالجدول أعلاه.

ألما لينكس، روكي لينكس، ريد هات لينكس، أوراكل لينكس:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

إذا لم يطبع الأمر أي شيء، فإن النواة قيد التشغيل معرضة للخطر.

بعد ذلك، تحقق من الخدمات التي تقبل الاتصالات عبر بروتوكول MPTCP. كانت الخوادم من هذا النوع هي الهدف في الهجوم الذي تم عرضه:

ss -lnMp

يعني الإخراج الفارغ عدم وجود مستمعين لبروتوكول MPTCP.

الخطوة الثانية: تثبيت النواة المُصلحة

قم بعمل نسخة احتياطية أو لقطة من خادمك قبل تحديث النواة.

دبيان 12 و 13

توجد النواة المُصلحة في مستودع الأمان. تأكد من تفعيلها:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

إذا لم يتم العثور على شيء، فأضف security.debian.org مستودع إصدارك. ثم قم بتحديث النظام:

apt update
apt full-upgrade
reboot

أوبونتو

لم يتم إصدار النواة المُعدّلة بعد. تحقق من وجود تحديثات:

apt update
apt list --upgradable | grep linux-image

إذا كان خادمك متصلاً بنظام Ubuntu Pro، فيمكنك التحقق من خطة الإصلاح:

pro fix CVE-2026-98432 --dry-run

بمجرد إصدار التحديث، قم بتثبيته وأعد تشغيل الجهاز:

apt update
apt full-upgrade
reboot

وحتى ذلك الحين، تأكد من تطبيق الحماية المؤقتة من الخطوة 3.

ألما لينكس 8، 9، 10

تتوفر النواة المُصلحة حاليًا في مستودع الاختبار فقط. قم بتثبيتها إذا كنت مرتاحًا للقيام بذلك على خادم الإنتاج، وتأكد من أخذ لقطة قبل التحديث.

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

بعد إعادة التشغيل، قارن uname -r باستخدام الإصدارات المذكورة في الجدول أعلاه. إذا كنت تفضل عدم تثبيت حزم الاختبار، فقم بتطبيق الحماية المؤقتة وانتظر حتى يصل الإصلاح إلى المستودع الرئيسي.

روكي لينكس وأنظمة أخرى مبنية على RHEL

لم يتم التوصل إلى حل بعد. يمكنك متابعة الأمر باستخدام:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

بمجرد إصدار الإصلاح:

dnf update kernel
reboot

بعد التحديث: يلزم إعادة التشغيل

لن يتم تفعيل النواة الجديدة إلا بعد إعادة تشغيل الجهاز. للتحقق مما إذا كانت هناك حاجة لإعادة التشغيل:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

بعد إعادة التشغيل، كرر الفحص من الخطوة 1.

الخطوة 3. حماية مؤقتة لحين توفر نواة ثابتة

تقلل هذه الإجراءات من المخاطر ولكنها لا تحل محل تحديث النواة.

قم بحظر حزم التشغيل

يستغل هذا الهجوم حزم TCP التي تحتوي على خيارات IP في ترويسة IPv4. نادرًا ما تظهر هذه الحزم في حركة البيانات العادية، وقد أوصت RFC 7126 بالفعل بحظرها. تقوم قاعدة nftables الموضحة أدناه بحظر جميع حزم TCP الواردة من IPv4 التي تحتوي على خيارات، ولا تؤثر على IPv6 أو UDP أو ICMP. وهي تعمل بالتزامن مع ufw و firewalld.

قم بتثبيت برنامج nftables إذا لم يكن مثبتًا بالفعل:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

إنشاء ملف القواعد:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

لإعادة ضبط القاعدة بعد كل إعادة تشغيل، قم بإنشاء خدمة systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

تأكد من تحميل القاعدة:

nft list table ip cve_2026_98432

إذا قمت بإعادة تشغيل خدمة nftables باستخدام ملف عام flush ruleset حكم، نفذ systemctl restart cve-2026-98432 بعد ذلك.

هام: لا تُطبّق هذه القاعدة على الشبكات التي تستخدم تصنيفات CIPSO (SELinux أو Smack NetLabel) - حيث تُستخدم خيارات IP بشكل طبيعي. إذا كان خادمك يُوجّه حركة المرور لأجهزة أخرى، فستقوم القاعدة أيضًا بحذف حزم TCP الخاصة بها التي تحتوي على خيارات IP.

قم بتعطيل بروتوكول MPTCP إذا لم تكن بحاجة إليه

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

هذا الإعداد يمنع فقط جديد سيتم منع إنشاء منافذ MPTCP. ستستمر الخدمات التي تعمل بالفعل في الاستماع عبر MPTCP، لذا أعد تشغيل كل خدمة مدرجة بواسطة ss -lnMp وتأكد من أن مخرجاته فارغة الآن.

في نظام AlmaLinux، يتم تعطيل بروتوكول MPTCP بشكل افتراضي ما لم تقم بتمكينه بنفسك.

تعطيل بروتوكول MPTCP في برامج Go

بالنسبة للخدمات المبنية باستخدام Go 1.24 أو إصدار أحدث، يمكنك تعطيل بروتوكول MPTCP باستخدام متغير بيئي. على سبيل المثال، بالنسبة لخدمة تسمى myservice:

systemctl edit myservice

أضف ما يلي إلى الملف الذي سيتم فتحه:

[Service]
Environment=GODEBUG=multipathtcp=0

ثم أعد تشغيل الخدمة:

systemctl restart myservice

تحديث الأشعة السينية

إذا كان خادمك يعمل بنظام Xray، فقم بتحديثه إلى الإصدار 26.10.31 أو أحدث. تم سحب الإصدار السابق، 26.10.29، من قِبل مطوريه. يُعطّل هذا التحديث بروتوكول MPTCP ولكنه لا يُصلح نواة النظام، لذا لا يزال تحديث النواة مطلوبًا.

تحقق من إعداد آخر

يتطلب مسار استغلال ثانٍ وأضيق نطاقًا تفعيل خاصية ترحيل الطلبات. وهي معطلة افتراضيًا - تأكد من تفعيلها.

sysctl net.ipv4.tcp_migrate_req

يجب أن يطبع الأمر 0.

تقييد الوصول إلى خدماتك

أغلق جميع منافذ جدار الحماية التي لا يلزم الوصول إليها من الإنترنت. وعند الإمكان، افتح خدمات الإدارة - مثل SSH ولوحات التحكم وقواعد البيانات - فقط لعناوين IP الموثوقة.

الخطوة الرابعة: بعد تثبيت النواة المُصلحة

1. أعد تشغيل الخادم واستخدم الأوامر من الخطوة 1 للتأكد من أن النواة المُصلحة تعمل.
2. يمكنك إزالة القاعدة المؤقتة:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. إذا كنت بحاجة إلى بروتوكول MPTCP، فاستعد الإعداد: احذف /etc/sysctl.d/99-disable-mptcp.conf و اهرب sysctl -w net.mptcp.enabled=1.

إذا حدث خطأ ما

إذا لم يبدأ تشغيل الخادم بعد تحديث النواة، فاتصل عبر وحدة تحكم VNC في لوحة التحكم، ثم اختر النواة السابقة من قائمة الإقلاع. إذا لم تكن متأكدًا من قدرتك على القيام بذلك بنفسك، أو كنت بحاجة إلى مساعدة في التحديث، فاتصل بفريق الدعم لدينا.