Vulnerabilitat crítica del nucli de Linux CVE-2026-98432: Com comprovar i actualitzar el vostre VPS

A l'octubre de 2026, es va trobar una vulnerabilitat crítica, CVE-2026-98432 , al nucli de Linux, amb una puntuació de 9.8 sobre 10 a l'escala CVSS. Afecta la manera com es gestionen les connexions TCP IPv4 entrants i, en determinades condicions, permet a un atacant obtenir accés root a un servidor de forma remota, sense contrasenya ni cap acció necessària per part de l'administrador.

A continuació s'explica qui està afectat, com comprovar el servidor i com protegir-lo. Totes les ordres s'executen com a root o amb sudo.

La vulnerabilitat en breu

• Què és: un error d'ús després de la llibertat en el codi que configura connexions TCP IPv4, causat per una condició de carrera. L'atacant envia paquets especialment dissenyats a qualsevol port TCP obert.
• Grans afectats: totes les versions des de Linux 4.4, cosa que significa pràcticament totes les distribucions actuals.
• IPv6 no es veu afectat per l'error principal.
• Com de real és l'amenaça: Investigadors d'Anthropic van demostrar una cadena d'explotacions funcional que va obtenir accés root en un servidor amb Multipath TCP (MPTCP) habilitat en uns 53 minuts. El codi d'explotació no s'ha publicat.
• Atacs en plena natura: A 1 de novembre de 2026, no s'havia reportat cap explotació. Això és un motiu per actualitzar amb calma, no un motiu per ajornar-ho.

Els serveis de Go comporten un risc a part. Des de la versió 1.24 de Go, els programes de servidor a Linux escolten els ports via MPTCP per defecte sempre que el nucli ho permet. És possible que un administrador ni tan sols sàpiga que el seu servidor accepta aquestes connexions. Entre els programes populars, Xray funciona d'aquesta manera: els seus desenvolupadors ja han publicat una versió d'emergència, la v26.10.31, que desactiva MPTCP per defecte.

Cada VPS executa el seu propi nucli, per la qual cosa cal que actualitzeu el nucli dins del servidor vosaltres mateixos. Nosaltres actualitzem els nodes de virtualització.

Hi ha alguna solució per al vostre sistema?

Estat a 1 de novembre de 2026. Les correccions arriben gairebé diàriament; consulteu els enllaços al final d'aquest article per conèixer l'estat actual.

Pas 1. Comproveu quin nucli esteu executant

Esbrineu la versió del nucli en execució:

uname -r

El número de versió per si sol no diu res: les distribucions retroporten les correccions als seus propis nuclis sense canviar la versió base. És més fiable consultar el registre de canvis del paquet del nucli; si esmenta el número CVE, la correcció ja està instal·lada.

Debian i Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

A Debian, el uname -v L'ordre també mostra la versió completa del paquet del nucli en execució: compareu-la amb la taula anterior.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Si l'ordre no imprimeix res, el nucli en execució és vulnerable.

A continuació, comproveu quins serveis accepten connexions via MPTCP. Servidors com aquests van ser l'objectiu de l'atac demostrat:

ss -lnMp

Una sortida buida significa que no hi ha cap oient MPTCP.

Pas 2. Instal·leu el nucli fix

Feu una còpia de seguretat o una instantània del vostre servidor abans d'actualitzar el nucli.

Debian 12 i 13

Els nuclis corregits es troben al repositori de seguretat. Assegureu-vos que estigui habilitat:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Si no es troba res, afegiu-hi security.debian.org repositori per a la teva versió. A continuació, actualitza el sistema:

apt update
apt full-upgrade
reboot

Ubuntu

Els nuclis corregits encara no s'han publicat. Comproveu si hi ha actualitzacions:

apt update
apt list --upgradable | grep linux-image

Si el vostre servidor està connectat a Ubuntu Pro, podeu consultar el pla de correcció:

pro fix CVE-2026-98432 --dry-run

Un cop publicada la correcció, instal·leu-la i reinicieu:

apt update
apt full-upgrade
reboot

Fins aleshores, assegureu-vos d'aplicar la protecció temporal del pas 3.

AlmaLinux 8, 9, 10

Els nuclis corregits actualment només estan disponibles al repositori de proves. Instal·leu-los si us sentiu còmodes fent-ho en un servidor de producció i assegureu-vos de fer una instantània abans d'actualitzar:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Després de reiniciar, compareu uname -r amb les versions de la taula anterior. Si preferiu no instal·lar paquets de prova, apliqueu la protecció temporal i espereu que la correcció arribi al repositori principal.

Rocky Linux i altres sistemes basats en RHEL

Encara no hi ha cap solució. Pots estar atent a això amb:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Un cop publicada la correcció:

dnf update kernel
reboot

Després de l'actualització: cal reiniciar

El nou nucli només té efecte després d'un reinici. Per comprovar si cal:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Després de reiniciar, repetiu la comprovació del pas 1.

Pas 3. Protecció temporal fins que hi hagi disponible un nucli fix

Aquestes mesures redueixen el risc però no substitueixen una actualització del nucli.

Bloqueja els paquets desencadenants

L'atac utilitza paquets TCP amb opcions IP a la capçalera IPv4. Pràcticament mai apareixen en el trànsit normal, i la RFC 7126 ja recomana descartar-los. La regla nftables següent descarta tots els paquets TCP IPv4 entrants amb opcions i no afecta IPv6, UDP o ICMP. Funciona juntament amb ufw i firewalld.

Instal·leu nftables si encara no està instal·lat:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Crea el fitxer de regles:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Perquè la regla es restauri després de cada reinici, creeu un servei systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Comproveu que la regla s'ha carregat:

nft list table ip cve_2026_98432

Si reinicieu el servei nftables amb una opció global flush ruleset governar, córrer systemctl restart cve-2026-98432 després.

Important: no apliqueu aquesta regla a xarxes que utilitzen etiquetes CIPSO (SELinux o Smack NetLabel); normalment, allà s'utilitzen les opcions IP. Si el vostre servidor encamina el trànsit per a altres màquines, la regla també descartarà els seus paquets TCP amb opcions IP.

Desactiveu MPTCP si no el necessiteu

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Aquesta configuració només impedeix nou que es creïn sockets MPTCP. Els serveis que ja s'estan executant continuaran escoltant a través de MPTCP, així que reinicieu tots els serveis llistats per ss -lnMp i assegureu-vos que la seva sortida ara estigui buida.

A AlmaLinux, MPTCP està desactivat per defecte, tret que l'hàgiu activat vosaltres mateixos.

Desactivar MPTCP en programes Go

Per a serveis creats amb Go 1.24 o posterior, podeu desactivar MPTCP amb una variable d'entorn. Per exemple, per a un servei anomenat myservice:

systemctl edit myservice

Afegiu el següent al fitxer que s'obre:

[Service]
Environment=GODEBUG=multipathtcp=0

A continuació, reinicieu el servei:

systemctl restart myservice

Actualització de radiografies

Si el vostre servidor executa Xray, actualitzeu-lo a la versió 26.10.31 o posterior. Els desenvolupadors han retirat la versió anterior, la 26.10.29. Aquesta actualització inhabilita MPTCP però no corregeix el nucli, per la qual cosa encara cal una actualització del nucli.

Marca una altra configuració

Una segona ruta d'explotació, més estreta, requereix que la migració de sol·licituds estigui habilitada. Està desactivada per defecte; assegureu-vos-en:

sysctl net.ipv4.tcp_migrate_req

L'ordre hauria d'imprimir 0.

Restringeix l'accés als teus serveis

Tanqueu tots els ports del tallafocs que no calgui accedir des d'Internet. Sempre que sigui possible, obriu els serveis administratius (SSH, panells de control, bases de dades) només a adreces IP de confiança.

Pas 4. Després d'instal·lar el nucli corregit

1. Reinicieu el servidor i utilitzeu les ordres del pas 1 per confirmar que el kernel arreglat s'està executant.
2. Podeu eliminar la regla temporal:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Si necessiteu MPTCP, restaureu la configuració: suprimir /etc/sysctl.d/99-disable-mptcp.conf i corrent sysctl -w net.mptcp.enabled=1.

Si alguna cosa va malament

Si el vostre servidor no arrenca després de l'actualització del nucli, connecteu-vos a través de la consola VNC al tauler de control i seleccioneu el nucli anterior al menú d'arrencada. Si no esteu segurs que podeu fer-ho vosaltres mateixos o necessiteu ajuda amb l'actualització, poseu-vos en contacte amb el nostre equip d'assistència.