Kritická zranitelnost jádra Linuxu CVE-2026-98432: Jak zkontrolovat a aktualizovat váš VPS

V říjnu 2026 byla v linuxovém jádře nalezena kritická zranitelnost CVE-2026-98432 , která byla na stupnici CVSS ohodnocena 9.8 z 10. Ovlivňuje způsob zpracování příchozích připojení IPv4 TCP a za určitých podmínek umožňuje útočníkovi získat vzdálený přístup root k serveru – bez hesla a bez nutnosti zásahu administrátora.

Níže je uveden seznam dotčených osob, jak zkontrolovat server a jak ho chránit. Všechny příkazy se spouštějí jako root nebo s sudo.

Zranitelnost ve zkratce

• Co to je: Chyba typu „use-after-free“ v kódu, která nastavuje IPv4 TCP připojení, způsobená soubojovým stavem. Útočník odesílá speciálně vytvořené pakety na jakýkoli otevřený TCP port.
• Dotčená jádra: každá verze od Linuxu 4.4, což znamená prakticky každá aktuální distribuce.
• IPv6 není ovlivněn hlavní chybou.
• Jak reálná je tato hrozba: Výzkumníci z Anthropic předvedli funkční řetězec exploitů, který získal root přístup na serveru s povoleným protokolem Multipath TCP (MPTCP) přibližně za 53 minut. Kód exploitu nebyl zveřejněn.
• Útoky ve volné přírodě: K 1. listopadu 2026 nebylo hlášeno žádné zneužití. To je důvod k klidné aktualizaci, ne důvod k jejímu odkládání.

Služby Go nesou samostatné riziko. Od verze Go 1.24 naslouchají serverové programy v Linuxu na portech přes MPTCP ve výchozím nastavení, kdykoli to jádro povolí. Administrátor si ani nemusí být vědom toho, že jeho server taková připojení akceptuje. Mezi populární programy tímto způsobem funguje Xray – jeho vývojáři již vydali nouzovou verzi v26.10.31, která MPTCP ve výchozím nastavení deaktivuje.

Každý VPS běží na vlastním jádru, takže si musíte jádro na serveru aktualizovat sami. Virtualizační uzly aktualizujeme sami.

Existuje oprava pro váš systém?

Stav k 1. listopadu 2026. Opravy přicházejí téměř denně – aktuální stav naleznete v odkazech na konci tohoto článku.

Krok 1. Zkontrolujte, které jádro používáte

Zjistěte verzi běžícího jádra:

uname -r

Samotné číslo verze vám nic neřekne: distribuce zpětně portují opravy do vlastních jader, aniž by měnily základní verzi. Spolehlivější je zkontrolovat changelog balíčku jádra – pokud se v něm číslo CVE uvádí, oprava je již nainstalována.

Debian a Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Na Debianu, uname -v Příkaz také zobrazuje plnou verzi balíčku spuštěného jádra: porovnejte ji s tabulkou výše.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Pokud příkaz nic nevypíše, je spuštěné jádro zranitelné.

Dále zkontrolujte, které služby akceptují připojení přes MPTCP. Cílem demonstrovaného útoku byly servery, jako jsou tyto:

ss -lnMp

Prázdný výstup znamená, že neexistují žádné posluchače MPTCP.

Krok 2. Nainstalujte opravené jádro

Před aktualizací jádra si udělejte zálohu nebo snímek serveru.

Debian 12 a 13

Opravená jádra jsou v bezpečnostním repozitáři. Ujistěte se, že je povoleno:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Pokud nic nenajdete, přidejte security.debian.org repozitář pro vaši verzi. Poté aktualizujte systém:

apt update
apt full-upgrade
reboot

ubuntu

Opravená jádra zatím nebyla vydána. Zkontrolujte aktualizace:

apt update
apt list --upgradable | grep linux-image

Pokud je váš server připojen k Ubuntu Pro, můžete si prohlédnout plán opravy:

pro fix CVE-2026-98432 --dry-run

Jakmile bude oprava vydána, nainstalujte ji a restartujte počítač:

apt update
apt full-upgrade
reboot

Do té doby nezapomeňte použít dočasnou ochranu z kroku 3.

AlmaLinux 8, 9, 10

Opravená jádra jsou momentálně k dispozici pouze v testovacím repozitáři. Nainstalujte je, pokud vám to vyhovuje na produkčním serveru, a před aktualizací nezapomeňte vytvořit snímek systému:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Po restartu porovnejte uname -r s verzemi v tabulce výše. Pokud raději nechcete instalovat testovací balíčky, použijte dočasnou ochranu a počkejte, až se oprava dostane do hlavního repozitáře.

Rocky Linux a další systémy založené na RHEL

Zatím neexistuje žádná oprava. Můžete ji sledovat pomocí:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Jakmile bude oprava vydána:

dnf update kernel
reboot

Po aktualizaci: je nutný restart

Nové jádro se projeví až po restartu. Chcete-li zkontrolovat, zda je potřeba:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Po restartu opakujte kontrolu od kroku 1.

Krok 3. Dočasná ochrana, dokud nebude k dispozici opravené jádro

Tato opatření snižují riziko, ale nenahrazují aktualizaci jádra.

Blokovat spouštěcí pakety

Útok používá TCP pakety s IPv4 parametry v hlavičce. V běžném provozu se prakticky nikdy neobjevují a RFC 7126 již doporučuje jejich zahazování. Níže uvedené pravidlo nftables zahazuje všechny příchozí IPv4 TCP pakety s parametry a neovlivňuje IPv6, UDP ani ICMP. Funguje společně s ufw a firewalld.

Nainstalujte nftables, pokud ještě není nainstalován:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Vytvořte soubor s pravidly:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Chcete-li, aby se pravidlo obnovilo po každém restartu, vytvořte službu systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Zkontrolujte, zda je pravidlo načteno:

nft list table ip cve_2026_98432

Pokud restartujete službu nftables s globálním flush ruleset pravidlo, běh systemctl restart cve-2026-98432 později.

Důležité: Toto pravidlo nepoužívejte v sítích používajících štítky CIPSO (SELinux nebo Smack NetLabel) – tam se volby IP používají běžně. Pokud váš server směruje provoz pro jiné počítače, pravidlo také zahodí jejich TCP pakety s volbami IP.

Pokud MPTCP nepotřebujete, vypněte ho.

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Toto nastavení pouze zabrání nový Nedochází k vytváření soketů MPTCP. Služby, které již běží, budou i nadále naslouchat přes MPTCP, proto restartujte všechny služby uvedené v seznamu. ss -lnMp a ujistěte se, že jeho výstup je nyní prázdný.

V systému AlmaLinux je protokol MPTCP ve výchozím nastavení zakázán, pokud jej sami nepovolíte.

Zakázat MPTCP v programech Go

U služeb vytvořených v Go 1.24 nebo novějším můžete MPTCP zakázat pomocí proměnné prostředí. Například pro službu s názvem myservice:

systemctl edit myservice

Do otevřeného souboru přidejte následující:

[Service]
Environment=GODEBUG=multipathtcp=0

Poté restartujte službu:

systemctl restart myservice

Aktualizace rentgenu

Pokud váš server používá Xray, aktualizujte jej na verzi v26.10.31 nebo novější. Předchozí verze v26.10.29 byla vývojáři stažena. Tato aktualizace deaktivuje MPTCP, ale neopravuje jádro, takže je stále nutná aktualizace jádra.

Zkontrolujte ještě jedno nastavení

Druhá, užší cesta zneužití vyžaduje povolení migrace požadavků. Ve výchozím nastavení je vypnutá – ujistěte se, že je povolena:

sysctl net.ipv4.tcp_migrate_req

Příkaz by měl vytisknout 0.

Omezení přístupu k vašim službám

Zavřete všechny porty firewallu, které nemusí být dostupné z internetu. Pokud je to možné, otevírejte administrativní služby – SSH, ovládací panely, databáze – pouze na důvěryhodných IP adresách.

Krok 4. Po instalaci opraveného jádra

1. Restartujte server a pomocí příkazů z kroku 1 ověřte, že opravené jádro běží.
2. Dočasné pravidlo můžete odstranit:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Pokud potřebujete MPTCP, obnovte nastavení: smazat /etc/sysctl.d/99-disable-mptcp.conf a běžte sysctl -w net.mptcp.enabled=1.

Pokud se něco pokazí

Pokud se váš server po aktualizaci jádra nespustí, připojte se přes konzoli VNC v ovládacím panelu a v nabídce spouštění vyberte předchozí jádro. Pokud si nejste jisti, zda to dokážete sami, nebo potřebujete s aktualizací pomoc, kontaktujte náš tým podpory.