Kritikal nga Kahuyangan sa Linux Kernel CVE-2026-98432: Unsaon Pagsusi ug Pag-update sa Imong VPS

Niadtong Oktubre 2026, usa ka kritikal nga kahuyangan, ang CVE-2026-98432 , ang nakit-an sa Linux kernel, nga adunay rating nga 9.8 sa 10 sa CVSS scale. Kini makaapekto sa pagdumala sa mga mosulod nga koneksyon sa IPv4 TCP ug, ubos sa pipila ka mga kondisyon, nagtugot sa usa ka tig-atake nga makakuha og root access sa usa ka server sa layo — nga walay password ug walay aksyon nga gikinahanglan gikan sa administrador.

Ania sa ubos kung kinsa ang apektado, unsaon pagsusi sa imong server ug unsaon kini pagpanalipod. Ang tanang mga sugo gipadagan isip root o uban sa sudo.

Ang kahuyang sa mubo nga pagkasulti

• Unsa kini: usa ka use-after-free nga bug sa code nga nag-set up sa IPv4 TCP connections, nga gipahinabo sa race condition. Ang tig-atake magpadala og espesyal nga gihimo nga mga packet sa bisan unsang bukas nga TCP port.
• Mga apektadong liso: matag bersyon sukad sa Linux 4.4, nga nagpasabot nga halos tanang kasamtangang distribusyon.
• IPv6 dili apektado sa pangunang bug.
• Unsa ka tinuod ang hulga: Gipakita sa mga tigdukiduki sa tawo ang usa ka nagtrabaho nga exploit chain nga nakakuha og root access sa usa ka server nga adunay Multipath TCP (MPTCP) nga naka-enable sulod sa mga 53 ka minuto. Ang exploit code wala pa mapublikar.
• Mga pag-atake sa lasang: Sukad sa Nobyembre 1, 2026, walay gitaho nga pagpahimulos. Kana usa ka rason aron mag-update nga kalmado, dili usa ka rason aron i-langan kini.

Ang mga serbisyo sa Go adunay lahi nga risgo. Sukad sa Go 1.24, ang mga programa sa server sa Linux maminaw sa mga port pinaagi sa MPTCP pinaagi sa default kung kanus-a kini tugotan sa kernel. Ang usa ka administrador mahimong dili gani mahibal-an nga ang ilang server modawat sa ingon nga mga koneksyon. Lakip sa mga sikat nga programa, ang Xray molihok niining paagiha — ang mga developer niini nagpagawas na og emergency nga bersyon, v26.10.31, nga nag-disable sa MPTCP pinaagi sa default.

Ang matag VPS nagpadagan sa kaugalingon nga kernel, busa kinahanglan nimo nga i-update ang kernel sulod sa imong server. Kami mismo ang nag-update sa mga virtualization node.

Naa bay solusyon sa imong sistema

Status sa Nobyembre 1, 2026. Ang mga pag-ayo moabot halos kada adlaw — susiha ang mga link sa katapusan niini nga artikulo para sa kasamtangang status.

Lakang 1. Susiha kung unsang kernel ang imong gipadagan

Susiha ang bersyon sa nagdagan nga kernel:

uname -r

Ang numero sa bersyon pa lang wala nay ikasulti: ang backport sa mga distribusyon mo-ayo sa ilang kaugalingong mga kernel nga dili usbon ang base nga bersyon. Mas kasaligan ang pagsusi sa changelog sa kernel package — kon kini maghisgot sa numero sa CVE, ang pag-ayo na-install na.

Debian ug Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Sa Debian, ang uname -v Ang sugo nagpakita usab sa kompletong bersyon sa pakete sa nagdagan nga kernel: itandi kini sa lamesa sa ibabaw.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Kon ang sugo walay i-print, ang nagdagan nga kernel huyang.

Sunod, susiha kung unsang mga serbisyo ang modawat og mga koneksyon pinaagi sa MPTCP. Ang mga server nga sama niini mao ang target sa gipakita nga pag-atake:

ss -lnMp

Ang walay sulod nga output nagpasabot nga walay mga MPTCP listener.

Lakang 2. I-install ang naayo nga kernel

Paghimo og backup o snapshot sa imong server sa dili pa i-update ang kernel.

Debian 12 ug 13

Ang mga naayo nga kernel naa sa security repository. Siguruha nga kini naka-enable:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Kon walay makita, idugang ang security.debian.org repository para sa imong release. Dayon i-update ang sistema:

apt update
apt full-upgrade
reboot

Ubuntu

Wala pa gipagawas ang mga naayo nga kernel. Susiha ang mga update:

apt update
apt list --upgradable | grep linux-image

Kon ang imong server naka-attach sa Ubuntu Pro, mahimo nimong susihon ang plano sa pag-ayo:

pro fix CVE-2026-98432 --dry-run

Kung nahuman na ang pag-ayo, i-install kini ug i-reboot:

apt update
apt full-upgrade
reboot

Hangtod niana, siguroha nga i-apply ang temporaryo nga proteksyon gikan sa Lakang 3.

AlmaLinux 8, 9, 10

Ang mga fixed kernel anaa lang karon sa testing repository. I-install kini kon komportable ka sa pagbuhat niini sa usa ka production server, ug siguroha nga magkuha og snapshot sa dili pa mag-update:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Human sa pag-reboot, itandi uname -r uban sa mga bersyon sa talaan sa ibabaw. Kon dili nimo gusto nga mag-install og mga testing package, i-apply ang temporaryo nga proteksyon ug hulata nga makaabot ang pag-ayo sa main repository.

Rocky Linux ug uban pang mga sistema nga nakabase sa RHEL

Wala pa'y solusyon. Mahimo nimo kining bantayan gamit ang:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Kung ma-release na ang fix:

dnf update kernel
reboot

Human sa pag-update: gikinahanglan ang pag-reboot

Ang bag-ong kernel mo-epekto lang human sa pag-reboot. Aron masusi kung gikinahanglan ba kini:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Human sa pag-reboot, balika ang pagsusi gikan sa Lakang 1.

Lakang 3. Temporaryong proteksyon hangtod nga magamit ang usa ka piho nga kernel

Kini nga mga lakang makapakunhod sa risgo apan dili makapuli sa kernel update.

I-block ang mga trigger packet

Ang pag-atake migamit og mga TCP packet nga adunay mga opsyon sa IP sa IPv4 header. Halos dili gyud kini makita sa normal nga trapiko, ug ang RFC 7126 nagrekomendar na sa pagtangtang niini. Ang nftables rule sa ubos nagtangtang sa tanang mosulod nga IPv4 TCP packet nga adunay mga opsyon ug dili makaapekto sa IPv6, UDP o ICMP. Kini mogana uban sa ufw ug firewalld.

I-install ang nftables kon wala pa kini ma-install:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Paghimo sa file sa lagda:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Aron mapasig-uli ang lagda human sa matag pag-reboot, paghimo og systemd service:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Siguruha nga ang lagda na-load na:

nft list table ip cve_2026_98432

Kon imong i-restart ang serbisyo sa nftables gamit ang global flush ruleset pagmando, pagdagan systemctl restart cve-2026-98432 pagkahuman.

Importante: ayaw gamita kini nga lagda sa mga network nga naggamit og CIPSO labels (SELinux o Smack NetLabel) — Ang mga opsyon sa IP kasagarang gigamit didto. Kon ang imong server mo-ruta sa trapiko para sa ubang mga makina, ang lagda mo-drop usab sa ilang mga TCP packet nga adunay mga opsyon sa IP.

I-disable ang MPTCP kon dili nimo kini kinahanglan

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Kini nga setting makapugong lang sa bag-o nga Ang mga MPTCP socket dili na mahimo. Ang mga serbisyo nga nagdagan na magpadayon sa pagpamati pinaagi sa MPTCP, busa i-restart ang matag serbisyo nga gilista sa ss -lnMp ug siguroha nga ang output niini karon walay sulod.

Sa AlmaLinux, ang MPTCP dili na ma-disable pinaagi sa default gawas kon ikaw mismo ang nag-enable niini.

I-disable ang MPTCP sa mga programa sa Go

Para sa mga serbisyo nga gihimo gamit ang Go 1.24 o mas bag-o pa, mahimo nimong i-disable ang MPTCP gamit ang usa ka environment variable. Pananglitan, para sa usa ka serbisyo nga gitawag og myservice:

systemctl edit myservice

Idugang ang mosunod sa file nga nagbukas:

[Service]
Environment=GODEBUG=multipathtcp=0

Dayon i-restart ang serbisyo:

systemctl restart myservice

I-update ang Xray

Kon ang imong server nagpadagan sa Xray, i-update kini ngadto sa v26.10.31 o mas bag-o pa. Ang miaging bersyon, ang v26.10.29, gibawi na sa mga developer niini. Kini nga update nag-disable sa MPTCP apan dili makaayo sa kernel, busa kinahanglan gihapon ang kernel update.

Susiha ang usa pa ka setting

Ang ikaduha, mas pig-ot nga agianan sa pagpahimulos nanginahanglan nga ma-enable ang request migration. Kini naka-off pinaagi sa default — siguroha kini:

sysctl net.ipv4.tcp_migrate_req

Ang sugo kinahanglan nga i-print 0.

Limitahi ang pag-access sa imong mga serbisyo

Sirad-i ang tanang firewall port nga dili kinahanglan nga makontak gikan sa internet. Kon mahimo, ablihi ang mga administratibong serbisyo — SSH, control panel, database — ngadto lamang sa mga kasaligang IP address.

Lakang 4. Human ma-install ang naayo nga kernel

1. I-reboot ang server ug gamita ang mga sugo gikan sa Lakang 1 aron kumpirmahon nga ang naayo nga kernel nagdagan.
2. Mahimo nimong tangtangon ang temporaryo nga lagda:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Kon kinahanglan nimo ang MPTCP, ibalik ang setting: delete /etc/sysctl.d/99-disable-mptcp.conf ug pagdagan sysctl -w net.mptcp.enabled=1.

Kon adunay dili maayo nga mahitabo

Kon ang imong server dili mo-boot human sa kernel update, sumpay pinaagi sa VNC console sa control panel ug pilia ang miaging kernel sa boot menu. Kon dili ka sigurado kon kaya nimo kini buhaton sa imong kaugalingon, o nagkinahanglan og tabang sa update, kontaka ang among support team.