Vulnerabilità critica di u kernel Linux CVE-2026-98432: Cumu verificà è aghjurnà u vostru VPS

In uttrovi 2026, una vulnerabilità critica, CVE-2026-98432 , hè stata truvata in u kernel Linux, cù una valutazione di 9.8 su 10 nantu à a scala CVSS. Affetta u modu in cui e cunnessione TCP IPv4 entranti sò gestite è, sottu certe cundizioni, permette à un attaccante di ottene l'accessu root à un servitore à distanza - senza password è senza azzione necessaria da parte di l'amministratore.

Quì sottu hè quale hè affettatu, cumu verificà u vostru servitore è cumu prutegelu. Tutti i cumandamenti sò eseguiti cum'è root o cù sudo.

A vulnerabilità in breve

• Cosa hè: Un bug di tipu "use-after-free" in u codice chì cunfigura cunnessione TCP IPv4, causatu da una cundizione di corsa. L'attaccante manda pacchetti appositamente cuncepiti à qualsiasi portu TCP apertu.
• Granelli affettati: ogni versione dapoi Linux 4.4, ciò chì significa praticamente ogni distribuzione attuale.
• IPv6 ùn hè micca affettatu da u bug principale.
• Quantu hè reale a minaccia: I circadori antropichi anu dimustratu una catena d'exploit funzionale chì hà ottenutu l'accessu root à un servitore cù Multipath TCP (MPTCP) attivatu in circa 53 minuti. U codice d'exploit ùn hè statu publicatu.
• Attacchi in natura: À u 1 di nuvembre di u 2026, nisuna sfruttazione hè stata signalata. Questa hè una ragione per aghjurnà cun calma, micca una ragione per rimandà.

I servizii Go portanu un risicu separatu. Dapoi Go 1.24, i prugrammi di servitore in Linux ascoltanu i porti via MPTCP per difettu ogni volta chì u kernel u permette. Un amministratore pò mancu ùn sapè chì u so servitore accetta tali cunnessione. Trà i prugrammi populari, Xray funziona cusì - i so sviluppatori anu digià publicatu una versione d'emergenza, v26.10.31, chì disattiva MPTCP per difettu.

Ogni VPS esegue u so propiu kernel, dunque avete bisognu di aghjurnà u kernel in u vostru servitore voi stessu. Aghjurnemu i nodi di virtualizazione noi stessi.

Ci hè una suluzione per u vostru sistema

Statu à u 1 di nuvembre di u 2026. E correzioni ghjunghjenu guasi ogni ghjornu - verificate i ligami à a fine di questu articulu per u statu attuale.

Passu 1. Verificate quale kernel state eseguendu

Truvà a versione di u kernel in esecuzione:

uname -r

U numeru di versione solu ùn vi dice nunda: e distribuzioni retroportanu e correzioni in i so propri kernel senza cambià a versione di basa. Hè più affidabile verificà u changelog di u pacchettu di u kernel - s'ellu cita u numeru CVE, a correzione hè digià installata.

Debian è Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Nant'à Debian, u uname -v U cumandamentu mostra ancu a versione cumpleta di u pacchettu di u kernel in esecuzione: paragunatelu cù a tavula sopra.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Sè u cumandamentu ùn stampa nunda, u kernel in esecuzione hè vulnerabile.

Dopu, verificate quali servizii accettanu cunnessione via MPTCP. I servitori cum'è questi eranu u bersagliu in l'attaccu dimustratu:

ss -lnMp

Un output viotu significa chì ùn ci sò micca ascoltatori MPTCP.

Passu 2. Installate u kernel fissu

Fate una copia di salvezza o una snapshot di u vostru servitore prima di aghjurnà u kernel.

Debian 12 è 13

I kernels fissi sò in u repositoriu di sicurezza. Assicuratevi ch'ellu sia attivatu:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

S'ellu ùn si trova nunda, aghjunghjite security.debian.org repositoriu per a vostra versione. Dopu aghjurnate u sistema:

apt update
apt full-upgrade
reboot

Ubuntu

I kernel fissi ùn sò ancu stati liberati. Verificate l'aghjurnamenti:

apt update
apt list --upgradable | grep linux-image

Sè u vostru servitore hè cunnessu à Ubuntu Pro, pudete verificà u pianu di riparazione:

pro fix CVE-2026-98432 --dry-run

Una volta chì a riparazione hè stata liberata, installatela è riavviate:

apt update
apt full-upgrade
reboot

Finu à tandu, assicuratevi d'applicà a prutezzione tempuranea di u Passu 3.

AlmaLinux 8, 9, 10

I kernel fissi sò attualmente dispunibili solu in u repositoriu di prova. Installateli se vi sentite à l'aise à fà cusì nantu à un servitore di pruduzzione, è assicuratevi di fà una snapshot prima di l'aghjurnamentu:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Dopu u riavviu, paragunate uname -r cù e versioni in a tavula sopra. Sè vo preferite micca installà i pacchetti di prova, applicate a prutezzione tempuranea è aspettate chì a correzione ghjunghji à u repositoriu principale.

Rocky Linux è altri sistemi basati nantu à RHEL

Ùn ci hè ancu nisuna suluzione. Pudete aspittà cù:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Una volta chì a correzione hè stata liberata:

dnf update kernel
reboot

Dopu l'aghjurnamentu: hè necessariu un riavviu

U novu kernel ùn entra in vigore chè dopu un riavviu. Per verificà s'ellu ci n'hè bisognu:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Dopu u riavviu, ripetite a verificazione da u Passu 1.

Passu 3. Prutezzione tempuranea finu à chì un kernel fissu sia dispunibule

Queste misure riducenu u risicu ma ùn rimpiazzanu micca un aghjurnamentu di u kernel.

Bluccà i pacchetti di trigger

L'attaccu usa pacchetti TCP cù opzioni IP in l'intestazione IPv4. Ùn cumpariscenu praticamente mai in u trafficu nurmale, è RFC 7126 ricumanda digià di abbandunalli. A regula nftables quì sottu abbanduneghja tutti i pacchetti TCP IPv4 entranti cù opzioni è ùn affetta micca IPv6, UDP o ICMP. Funziona accantu à ufw è firewalld.

Installate nftables s'ellu ùn hè micca digià installatu:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Crea u schedariu di regula:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Per fà restaurà a regula dopu ogni riavviu, create un serviziu systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Verificate chì a regula hè caricata:

nft list table ip cve_2026_98432

Sè riavviate u serviziu nftables cù un glubale flush ruleset regula, corre systemctl restart cve-2026-98432 dopu.

Impurtante: ùn applicate micca sta regula nantu à e rete chì utilizanu etichette CIPSO (SELinux o Smack NetLabel) - l'opzioni IP sò nurmalmente aduprate quì. Se u vostru servitore instrada u trafficu per altre macchine, a regula abbandunerà ancu i so pacchetti TCP cù opzioni IP.

Disattivate MPTCP sè ùn ne avete micca bisognu

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Questa impostazione impedisce solu novu Impedisce a creazione di socket MPTCP. I servizii chì sò digià in esecuzione continueranu à ascultà via MPTCP, dunque riavviate ogni serviziu elencatu da ss -lnMp è assicuratevi chì a so uscita sia avà viota.

Nant'à AlmaLinux, MPTCP hè disattivatu per difettu, salvu chì ùn l'avete attivatu voi stessu.

Disattivà MPTCP in i prugrammi Go

Per i servizii custruiti cù Go 1.24 o più tardi, pudete disattivà MPTCP cù una variabile d'ambiente. Per esempiu, per un serviziu chjamatu myservice:

systemctl edit myservice

Aghjunghjite u seguente à u schedariu chì si apre:

[Service]
Environment=GODEBUG=multipathtcp=0

Dopu, riavviate u serviziu:

systemctl restart myservice

Aghjurnamentu di a radiografia

Sè u vostru servitore esegue Xray, aghjurnatelu à a versione 26.10.31 o più recente. A versione precedente, v26.10.29, hè stata ritirata da i so sviluppatori. Questa aghjurnazione disattiva MPTCP ma ùn corregge micca u kernel, dunque una aghjurnazione di u kernel hè sempre necessaria.

Verificate un'altra impostazione

Una seconda via di sfruttamentu, più stretta, richiede chì a migrazione di e richieste sia attivata. Hè disattivata per difettu - assicuratevi di questu:

sysctl net.ipv4.tcp_migrate_req

U cumandamentu deve stampà 0.

Limità l'accessu à i vostri servizii

Chjude ogni portu di firewall chì ùn hà micca bisognu di esse accessibile da Internet. Se pussibule, apre i servizii amministrativi - SSH, pannelli di cuntrollu, basi di dati - solu à indirizzi IP di fiducia.

Passu 4. Dopu avè stallatu u kernel fissu

1. Riavviate u servitore è aduprate i cumandamenti di u Passu 1 per cunfirmà chì u kernel fissu hè in esecuzione.
2. Pudete caccià a regula tempuranea:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Sè avete bisognu di MPTCP, restaurate l'impostazione: sguassà /etc/sysctl.d/99-disable-mptcp.conf è corse sysctl -w net.mptcp.enabled=1.

Se qualcosa va male

Sè u vostru servitore ùn si avvia micca dopu l'aghjurnamentu di u kernel, cunnette vi via a cunsola VNC in u pannellu di cuntrollu è selezziunate u kernel precedente in u menu d'avviu. Sè ùn site micca sicuru di pudè fà questu voi stessu, o avete bisognu d'aiutu cù l'aghjurnamentu, cuntattate a nostra squadra di supportu.