Kritik Linux Kernel Zəifliyi CVE-2026-98432: VPS-inizi necə yoxlamaq və yeniləmək olar

2026-cı ilin oktyabr ayında Linux nüvəsində CVSS şkalasında 10 üzərindən 9.8 balla qiymətləndirilən CVE-2026-98432 adlı kritik bir boşluq aşkar edildi. Bu, daxil olan IPv4 TCP bağlantılarının necə idarə olunmasına təsir göstərir və müəyyən şərtlər altında təcavüzkara serverə uzaqdan — parol olmadan və administratordan heç bir hərəkət tələb olunmadan — root girişi əldə etməyə imkan verir.

Aşağıda kimin təsirləndiyi, serverinizi necə yoxlamaq və onu necə qorumaq barədə məlumat verilmişdir. Bütün əmrlər root və ya ilə işlədilir sudo.

Qısaca zəiflik

• Nə: IPv4 TCP əlaqələrini quran kodda yarış şərti səbəbindən yaranan istifadədən sonra pulsuz səhv. Təcavüzkar xüsusi hazırlanmış paketləri istənilən açıq TCP portuna göndərir.
• Təsirə məruz qalan ləpələr: Linux 4.4-dən bəri hər versiya, yəni demək olar ki, bütün mövcud distributivlər.
• IPv6 əsas böcəkdən təsirlənmir.
• Təhdid nə qədər realdır: Antrop tədqiqatçılar, Multipath TCP (MPTCP) aktivləşdirilmiş serverdə təxminən 53 dəqiqə ərzində root girişi əldə edən işləyən istismar zənciri nümayiş etdirdilər. İstismar kodu dərc olunmayıb.
• Təbiətdəki hücumlar: 1 noyabr 2026-cı il tarixinə olan məlumata görə, heç bir istismar barədə məlumat verilməyib. Bu, onu təxirə salmaq üçün bir səbəb deyil, sakitcə yeniləmək üçün bir səbəbdir.

Go xidmətləri ayrı bir risk daşıyır. Go 1.24-dən bəri, Linux-dakı server proqramları, nüvə icazə verdikdə, standart olaraq MPTCP vasitəsilə portları dinləyir. Administrator hətta serverinin bu cür əlaqələri qəbul etdiyini belə bilməyə bilər. Məşhur proqramlar arasında Xray bu şəkildə işləyir — onun tərtibatçıları artıq MPTCP-ni standart olaraq deaktiv edən təcili versiya olan v26.10.31-i buraxıblar.

Hər bir VPS öz nüvəsini işlədir, ona görə də serverinizin içindəki nüvəni özünüz yeniləməlisiniz. Virtuallaşdırma qovşaqlarını özümüz yeniləyirik.

Sisteminiz üçün bir düzəliş varmı?

1 noyabr 2026-cı il tarixinə olan vəziyyət. Düzəlişlər demək olar ki, hər gün baş verir — cari vəziyyət üçün bu məqalənin sonundakı linklərə baxın.

Addım 1. Hansı nüvəni işlətdiyinizi yoxlayın

İşləyən nüvənin versiyasını öyrənin:

uname -r

Təkcə versiya nömrəsi sizə heç nə demir: distributivlərin backport düzəlişləri baza versiyasını dəyişdirmədən öz nüvələrinə edilir. Kernel paketinin dəyişiklik jurnalını yoxlamaq daha etibarlıdır - əgər orada CVE nömrəsi qeyd olunursa, düzəliş artıq quraşdırılıb.

Debian and Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Debian üzərində, uname -v əmri həmçinin işləyən nüvənin tam paket versiyasını göstərir: onu yuxarıdakı cədvəllə müqayisə edin.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Əgər əmr heç nə çap etmirsə, işləyən nüvə həssasdır.

Növbəti addım olaraq, hansı xidmətlərin MPTCP vasitəsilə bağlantıları qəbul etdiyini yoxlayın. Nümayiş etdirilən hücumda hədəf bu kimi serverlər idi:

ss -lnMp

Boş çıxış MPTCP dinləyicilərinin olmadığını bildirir.

Addım 2. Sabit nüvəni quraşdırın

Kerneli yeniləməzdən əvvəl serverinizin ehtiyat nüsxəsini və ya anlıq görüntüsünü çəkin.

Debian 12 və 13

The fixed kernels are in the security repository. Make sure it is enabled:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Heç nə tapılmazsa, əlavə edin security.debian.org Buraxılışınız üçün depo. Sonra sistemi yeniləyin:

apt update
apt full-upgrade
reboot

Ubuntu

Düzəldilmiş nüvələr hələ buraxılmayıb. Yeniləmələri yoxlayın:

apt update
apt list --upgradable | grep linux-image

Serveriniz Ubuntu Pro-ya qoşulubsa, düzəliş planını yoxlaya bilərsiniz:

pro fix CVE-2026-98432 --dry-run

Once the fix is released, install it and reboot:

apt update
apt full-upgrade
reboot

Until then, be sure to apply the temporary protection from Step 3.

AlmaLinux 8, 9, 10

Sabit nüvələr hazırda yalnız test depolarında mövcuddur. Əgər rahatsınızsa, onları istehsal serverində quraşdırın və yeniləməzdən əvvəl anlıq görüntü çəkməyi unutmayın:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Yenidən başladıqdan sonra müqayisə edin uname -r Yuxarıdakı cədvəldəki versiyalarla. Test paketlərini quraşdırmaq istəmirsinizsə, müvəqqəti qoruma tətbiq edin və düzəlişin əsas depoya çatmasını gözləyin.

Rocky Linux and other RHEL-based systems

Hələ ki, heç bir düzəliş yoxdur. Bunu aşağıdakılarla izləyə bilərsiniz:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Once the fix is released:

dnf update kernel
reboot

Yeniləmədən sonra: yenidən başlatma tələb olunur

Yeni nüvə yalnız yenidən başladıqdan sonra qüvvəyə minir. Lazım olub olmadığını yoxlamaq üçün:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Yenidən başladıqdan sonra, 1-ci addımdan etibarən yoxlamanı təkrarlayın.

Addım 3. Sabit nüvə mövcud olana qədər müvəqqəti qorunma

Bu tədbirlər riski azaldır, lakin nüvə yeniləməsini əvəz etmir.

Tetik paketlərini bloklayın

Hücum IPv4 başlığında IP seçimləri olan TCP paketlərindən istifadə edir. Onlar praktik olaraq heç vaxt normal trafikdə görünmür və RFC 7126 artıq onları silməyi tövsiyə edir. Aşağıdakı nftables qaydası bütün daxil olan IPv4 TCP paketlərini seçimləri olan silir və IPv6, UDP və ya ICMP-yə təsir etmir. ufw və firewalld ilə birlikdə işləyir.

Əgər nftables hələ quraşdırılmayıbsa, onu quraşdırın:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Qayda faylını yaradın:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Hər yenidən başlatmadan sonra qaydanı bərpa etmək üçün systemd xidməti yaradın:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Qaydanın yükləndiyini yoxlayın:

nft list table ip cve_2026_98432

Əgər nftables xidmətini qlobal bir şəkildə yenidən başlatsanız flush ruleset qayda qurmaq, qaçmaq systemctl restart cve-2026-98432 sonra.

Vacibdir: bu qaydanı CIPSO etiketlərindən (SELinux və ya Smack NetLabel) istifadə edən şəbəkələrə tətbiq etməyin — IP seçimləri orada normal olaraq istifadə olunur. Əgər serveriniz trafiki digər maşınlar üçün yönləndirirsə, qayda onların TCP paketlərini də IP seçimləri ilə birlikdə buraxacaq.

MPTCP-yə ehtiyacınız yoxdursa, onu deaktiv edin

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Bu parametr yalnız qarşısını alır yeni MPTCP sockets from being created. Services that are already running will keep listening via MPTCP, so restart every service listed by ss -lnMp və çıxışının artıq boş olduğundan əmin olun.

AlmaLinux-da, MPTCP-ni özünüz aktivləşdirməmisinizsə, standart olaraq deaktiv edilir.

Go proqramlarında MPTCP-ni deaktiv edin

Go 1.24 və ya daha sonrakı versiyaları ilə qurulmuş xidmətlər üçün MPTCP-ni mühit dəyişəni ilə deaktiv edə bilərsiniz. Məsələn, adlı bir xidmət üçün myservice:

systemctl edit myservice

Açılan fayla aşağıdakıları əlavə edin:

[Service]
Environment=GODEBUG=multipathtcp=0

Then restart the service:

systemctl restart myservice

Xray-ı yeniləyin

Əgər serveriniz Xray işlədirsə, onu v26.10.31 və ya daha sonrakı versiyaya yeniləyin. Əvvəlki versiya, v26.10.29, tərtibatçılar tərəfindən geri götürülüb. Bu yeniləmə MPTCP-ni deaktiv edir, lakin nüvəni düzəltmir, buna görə də nüvə yeniləməsi hələ də tələb olunur.

Daha bir ayarı yoxlayın

İkinci, daha dar istismar yolu sorğu köçürməsinin aktivləşdirilməsini tələb edir. Bu, standart olaraq söndürülmüşdür — əmin olun:

sysctl net.ipv4.tcp_migrate_req

Əmr çap olunmalıdır 0.

Xidmətlərinizə girişi məhdudlaşdırın

İnternetdən əldə edilməsi lazım olmayan bütün firewall portlarını bağlayın. Mümkün olduqda, inzibati xidmətləri — SSH, idarəetmə panelləri, verilənlər bazalarını — yalnız etibarlı IP ünvanlarına açın.

Addım 4. Sabit nüvəni quraşdırdıqdan sonra

1. Serveri yenidən başladın və sabit nüvənin işlədiyini təsdiqləmək üçün 1-ci addımdakı əmrlərdən istifadə edin.
2. Müvəqqəti qaydanı silə bilərsiniz:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. MPTCP-yə ehtiyacınız varsa, ayarı bərpa edin: silin /etc/sysctl.d/99-disable-mptcp.conf və qaçmaq sysctl -w net.mptcp.enabled=1.

Bir şey səhv olarsa

Əgər serveriniz nüvə yeniləməsindən sonra yüklənmirsə, idarəetmə panelindəki VNC konsolu vasitəsilə qoşulun və açılış menyusunda əvvəlki nüvəni seçin. Bunu özünüz edə biləcəyinizdən əmin deyilsinizsə və ya yeniləmə ilə bağlı köməyə ehtiyacınız varsa, dəstək qrupumuzla əlaqə saxlayın.