Kritična ranjivost Linux kernela CVE-2026-98432: Kako provjeriti i ažurirati svoj VPS

U oktobru 2026. godine, kritična ranjivost, CVE-2026-98432 , pronađena je u Linux kernelu, ocijenjena sa 9.8 od 10 na CVSS skali. Utiče na način na koji se obrađuju dolazne IPv4 TCP veze i, pod određenim uslovima, omogućava napadaču da daljinski dobije root pristup serveru - bez lozinke i bez potrebe za akcijom administratora.

U nastavku je navedeno ko je pogođen, kako provjeriti svoj server i kako ga zaštititi. Sve naredbe se izvršavaju kao root ili sa sudo.

Ranjivost ukratko

• Šta je to: Greška u kodu koja se naziva "korištenje nakon oslobađanja" i koja uspostavlja IPv4 TCP veze, uzrokovana stanjem utrke. Napadač šalje posebno kreirane pakete na bilo koji otvoreni TCP port.
• Pogođena jezgra: svaka verzija od Linuxa 4.4, što znači praktično svaka trenutna distribucija.
• IPv6 nije pogođen glavnim greškom.
• Koliko je prijetnja stvarna: Istraživači kompanije Anthropic demonstrirali su funkcionalan lanac iskorištavanja koji je omogućio root pristup na serveru sa omogućenim Multipath TCP (MPTCP) protokolom za oko 53 minute. Kod iskorištavanja nije objavljen.
• Napadi u divljini: Od 1. novembra 2026. godine nije prijavljena nikakva eksploatacija. To je razlog za smireno ažuriranje, a ne razlog za odgađanje.

Go servisi nose zaseban rizik. Od verzije Go 1.24, serverski programi na Linuxu osluškuju portove putem MPTCP-a prema zadanim postavkama kad god im kernel to dozvoljava. Administrator možda čak ni ne zna da njihov server prihvata takve veze. Među popularnim programima, Xray radi na ovaj način - njegovi programeri su već objavili hitnu verziju, v26.10.31, koja onemogućava MPTCP prema zadanim postavkama.

Svaki VPS koristi vlastito jezgro, tako da morate sami ažurirati jezgro unutar vašeg servera. Mi sami ažuriramo čvorove virtualizacije.

Postoji li rješenje za vaš sistem

Status od 1. novembra 2026. Ispravke se objavljuju gotovo svakodnevno - provjerite linkove na kraju ovog članka za trenutni status.

Korak 1. Provjerite koji kernel koristite

Saznajte verziju pokrenutog kernela:

uname -r

Sam broj verzije vam ništa ne govori: distribucije vraćaju ispravke u vlastite kernele bez promjene osnovne verzije. Pouzdanije je provjeriti dnevnik promjena paketa kernela — ako se u njemu spominje CVE broj, ispravka je već instalirana.

Debian i Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Na Debianu, uname -v Komanda također prikazuje punu verziju paketa pokrenutog kernela: uporedite je s gornjom tabelom.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Ako naredba ne ispisuje ništa, pokrenuti kernel je ranjiv.

Zatim provjerite koje usluge prihvataju veze putem MPTCP-a. Serveri poput ovih bili su meta u demonstriranom napadu:

ss -lnMp

Prazan izlaz znači da nema MPTCP slušača.

Korak 2. Instalirajte fiksni kernel

Napravite sigurnosnu kopiju ili snimak vašeg servera prije ažuriranja kernela.

Debian 12 i 13

Ispravljene kernele možete pronaći u sigurnosnom repozitoriju. Provjerite je li omogućen:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Ako se ništa ne pronađe, dodajte security.debian.org repozitorij za vaše izdanje. Zatim ažurirajte sistem:

apt update
apt full-upgrade
reboot

Ubuntu

Ispravljena jezgra još nisu objavljena. Provjerite ažuriranja:

apt update
apt list --upgradable | grep linux-image

Ako je vaš server povezan sa Ubuntu Pro, možete provjeriti plan popravke:

pro fix CVE-2026-98432 --dry-run

Nakon što se ispravka objavi, instalirajte je i ponovo pokrenite računar:

apt update
apt full-upgrade
reboot

Do tada, obavezno primijenite privremenu zaštitu iz koraka 3.

AlmaLinux 8, 9, 10

Fiksne kernele trenutno možete pronaći samo u testnom repozitoriju. Instalirajte ih ako vam je ugodno to raditi na produkcijskom serveru i obavezno napravite snimak prije ažuriranja:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Nakon ponovnog pokretanja, uporedite uname -r sa verzijama u gornjoj tabeli. Ako ne želite instalirati testne pakete, primijenite privremenu zaštitu i pričekajte da ispravka stigne do glavnog repozitorija.

Rocky Linux i drugi sistemi zasnovani na RHEL-u

Još nema rješenja. Možete ga pratiti pomoću:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Nakon što se ispravka objavi:

dnf update kernel
reboot

Nakon ažuriranja: potreban je ponovni start

Novi kernel stupa na snagu tek nakon ponovnog pokretanja. Da biste provjerili da li je potreban:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Nakon ponovnog pokretanja, ponovite provjeru od koraka 1.

Korak 3. Privremena zaštita dok ne bude dostupna ispravljena jezgra

Ove mjere smanjuju rizik, ali ne zamjenjuju ažuriranje kernela.

Blokiraj okidačke pakete

Napad koristi TCP pakete s IP opcijama u IPv4 zaglavlju. Oni se praktično nikada ne pojavljuju u normalnom prometu, a RFC 7126 već preporučuje njihovo odbacivanje. Pravilo nftables ispod odbaciva sve dolazne IPv4 TCP pakete s opcijama i ne utječe na IPv6, UDP ili ICMP. Radi zajedno s ufw i firewalld.

Instalirajte nftables ako već nije instaliran:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Kreirajte datoteku s pravilima:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Da bi se pravilo vratilo u prvobitno stanje nakon svakog ponovnog pokretanja, kreirajte systemd uslugu:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Provjerite je li pravilo učitano:

nft list table ip cve_2026_98432

Ako ponovo pokrenete nftables servis s globalnim flush ruleset pravilo, trčanje systemctl restart cve-2026-98432 nakon toga.

Važno: nemojte primjenjivati ​​ovo pravilo na mreže koje koriste CIPSO oznake (SELinux ili Smack NetLabel) — tamo se IP opcije normalno koriste. Ako vaš server usmjerava promet za druge mašine, pravilo će također odbaciti njihove TCP pakete s IP opcijama.

Onemogućite MPTCP ako vam nije potreban

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ova postavka samo sprečava novi MPTCP soketi se neće kreirati. Servisi koji su već pokrenuti nastavit će slušati putem MPTCP-a, stoga ponovo pokrenite svaki servis naveden od strane ss -lnMp i provjerite je li njegov izlaz sada prazan.

Na AlmaLinuxu, MPTCP je podrazumevano onemogućen, osim ako ga sami niste omogućili.

Onemogućite MPTCP u Go programima

Za servise izgrađene s Go 1.24 ili novijim, možete onemogućiti MPTCP pomoću varijable okruženja. Na primjer, za servis pod nazivom myservice:

systemctl edit myservice

U datoteku koja se otvori dodajte sljedeće:

[Service]
Environment=GODEBUG=multipathtcp=0

Zatim ponovo pokrenite servis:

systemctl restart myservice

Ažuriranje rendgenskog snimka

Ako vaš server koristi Xray, ažurirajte ga na v26.10.31 ili noviju verziju. Prethodnu verziju, v26.10.29, povukli su njeni programeri. Ovo ažuriranje onemogućava MPTCP, ali ne popravlja kernel, tako da je ažuriranje kernela i dalje potrebno.

Provjerite još jednu postavku

Drugi, uži put iskorištavanja zahtijeva omogućavanje migracije zahtjeva. Podrazumevano je isključeno — provjerite da li je:

sysctl net.ipv4.tcp_migrate_req

Komanda bi trebala ispisati 0.

Ograničite pristup svojim uslugama

Zatvorite svaki port zaštitnog zida koji ne mora biti dostupan s interneta. Kad god je to moguće, otvorite administrativne usluge - SSH, kontrolne ploče, baze podataka - samo za pouzdane IP adrese.

Korak 4. Nakon instaliranja fiksnog kernela

1. Ponovo pokrenite server i koristite naredbe iz koraka 1 da biste potvrdili da ispravljeno jezgro radi.
2. Privremeno pravilo možete ukloniti:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Ako vam je potreban MPTCP, vratite postavku: izbrišite /etc/sysctl.d/99-disable-mptcp.conf i trči sysctl -w net.mptcp.enabled=1.

Ako nešto krene po zlu

Ako se vaš server ne pokrene nakon ažuriranja kernela, povežite se putem VNC konzole u kontrolnoj ploči i odaberite prethodni kernel u meniju za pokretanje. Ako niste sigurni da li to možete sami uraditi ili vam je potrebna pomoć s ažuriranjem, kontaktirajte naš tim za podršku.