Bregusrwydd Critigol Cnewyllyn Linux CVE-2026-98432: Sut i Wirio a Diweddaru Eich VPS

Ym mis Hydref 2026, canfuwyd gwendid critigol, CVE-2026-98432 , yng nghnewyllyn Linux, wedi'i raddio'n 9.8 allan o 10 ar raddfa CVSS. Mae'n effeithio ar sut mae cysylltiadau IPv4 TCP sy'n dod i mewn yn cael eu trin ac, o dan rai amodau, mae'n caniatáu i ymosodwr gael mynediad gwraidd i weinydd o bell - heb gyfrinair a heb unrhyw gamau gweithredu sydd eu hangen gan y gweinyddwr.

Isod mae pwy sy'n cael ei effeithio, sut i wirio'ch gweinydd a sut i'w amddiffyn. Mae pob gorchymyn yn cael ei redeg fel gwraidd neu gyda sudo.

Y bregusrwydd yn gryno

• Beth ydyw: nam defnyddio-ar-ôl-ryddhau yn y cod sy'n sefydlu cysylltiadau TCP IPv4, a achosir gan gyflwr ras. Mae'r ymosodwr yn anfon pecynnau wedi'u crefftio'n arbennig i unrhyw borthladd TCP agored.
• Cnewyllyn yr effeithiwyd arnynt: pob fersiwn ers Linux 4.4, sy'n golygu bron pob dosbarthiad cyfredol.
• IPv6 nid yw'n cael ei effeithio gan y prif nam.
• Pa mor real yw'r bygythiad: Dangosodd ymchwilwyr Anthropic gadwyn ecsbloetio weithredol a gafodd fynediad gwraidd ar weinydd gyda Multipath TCP (MPTCP) wedi'i alluogi mewn tua 53 munud. Nid yw'r cod ecsbloetio wedi'i gyhoeddi eto.
• Ymosodiadau yn y gwyllt: o 1 Tachwedd 2026, nid oes unrhyw gamfanteisio wedi'i adrodd. Dyna reswm i ddiweddaru'n bwyllog, nid rheswm i'w ohirio.

Mae risg ar wahân i wasanaethau Go. Ers Go 1.24, mae rhaglenni gweinydd ar Linux yn gwrando ar borthladdoedd trwy MPTCP yn ddiofyn pryd bynnag y mae'r cnewyllyn yn caniatáu hynny. Efallai na fydd gweinyddwr hyd yn oed yn gwybod bod eu gweinydd yn derbyn cysylltiadau o'r fath. Ymhlith rhaglenni poblogaidd, mae Xray yn gweithio fel hyn - mae ei ddatblygwyr eisoes wedi rhyddhau fersiwn frys, v26.10.31, sy'n analluogi MPTCP yn ddiofyn.

Mae pob VPS yn rhedeg ei gnewyllyn ei hun, felly mae angen i chi ddiweddaru'r cnewyllyn y tu mewn i'ch gweinydd eich hun. Rydym yn diweddaru'r nodau rhithwiroli ein hunain.

Oes ateb i'ch system

Statws ar 1 Tachwedd, 2026. Mae atgyweiriadau'n dod i'r amlwg bron bob dydd — edrychwch ar y dolenni ar ddiwedd yr erthygl hon am y statws cyfredol.

Cam 1. Gwiriwch pa gnewyllyn rydych chi'n ei redeg

Darganfyddwch fersiwn y cnewyllyn sy'n rhedeg:

uname -r

Nid yw rhif y fersiwn yn unig yn dweud dim wrthych: mae dosraniadau'n ôl-gludo atgyweiriadau i'w cnewyllyn eu hunain heb newid y fersiwn sylfaenol. Mae'n fwy dibynadwy gwirio log newid y pecyn cnewyllyn - os yw'n sôn am y rhif CVE, mae'r atgyweiriad eisoes wedi'i osod.

Debian ac Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Ar Debian, y uname -v Mae'r gorchymyn hefyd yn dangos fersiwn pecyn llawn y cnewyllyn sy'n rhedeg: cymharwch ef â'r tabl uchod.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Os nad yw'r gorchymyn yn argraffu dim, mae'r cnewyllyn sy'n rhedeg yn agored i niwed.

Nesaf, gwiriwch pa wasanaethau sy'n derbyn cysylltiadau drwy MPTCP. Gweinyddion fel y rhain oedd y targed yn yr ymosodiad a ddangoswyd:

ss -lnMp

Mae allbwn gwag yn golygu nad oes gwrandawyr MPTCP.

Cam 2. Gosodwch y cnewyllyn sefydlog

Cymerwch gopi wrth gefn neu lun o'ch gweinydd cyn diweddaru'r cnewyllyn.

Debian 12 a 13

Mae'r cnewyllynnau sefydlog yn y storfa ddiogelwch. Gwnewch yn siŵr ei fod wedi'i alluogi:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Os na cheir dim, ychwanegwch y security.debian.org storfa ar gyfer eich datganiad. Yna diweddarwch y system:

apt update
apt full-upgrade
reboot

Ubuntu

Nid yw cnewyllyn trwsio wedi'u rhyddhau eto. Gwiriwch am ddiweddariadau:

apt update
apt list --upgradable | grep linux-image

Os yw eich gweinydd wedi'i gysylltu ag Ubuntu Pro, gallwch wirio'r cynllun atgyweirio:

pro fix CVE-2026-98432 --dry-run

Unwaith y bydd y datrysiad wedi'i ryddhau, ei osod a'i ailgychwyn:

apt update
apt full-upgrade
reboot

Tan hynny, gwnewch yn siŵr eich bod yn defnyddio'r amddiffyniad dros dro o Gam 3.

AlmaLinux 8, 9, 10

Ar hyn o bryd dim ond yn y storfa brofi y mae cnewyllyn sefydlog ar gael. Gosodwch nhw os ydych chi'n gyfforddus yn gwneud hynny ar weinydd cynhyrchu, a gwnewch yn siŵr eich bod chi'n tynnu ciplun cyn diweddaru:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Ar ôl ailgychwyn, cymharwch uname -r gyda'r fersiynau yn y tabl uchod. Os byddai'n well gennych beidio â gosod pecynnau profi, cymhwyswch yr amddiffyniad dros dro ac aros i'r atgyweiriad gyrraedd y brif storfa.

Rocky Linux a systemau eraill sy'n seiliedig ar RHEL

Does dim ateb eto. Gallwch chi wylio amdano gyda:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Unwaith y bydd y datrysiad wedi'i ryddhau:

dnf update kernel
reboot

Ar ôl diweddaru: mae angen ailgychwyn

Dim ond ar ôl ailgychwyn y daw'r cnewyllyn newydd i rym. I wirio a oes angen un:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Ar ôl ailgychwyn, ailadroddwch y gwiriad o Gam 1.

Cam 3. Amddiffyniad dros dro nes bod cnewyllyn sefydlog ar gael

Mae'r mesurau hyn yn lleihau'r risg ond nid ydynt yn disodli diweddariad cnewyllyn.

Blociwch y pecynnau sbarduno

Mae'r ymosodiad yn defnyddio pecynnau TCP gydag opsiynau IP yn y pennawd IPv4. Prin y maent yn ymddangos mewn traffig arferol, ac mae RFC 7126 eisoes yn argymell eu gollwng. Mae'r rheol nftables isod yn gollwng pob pecyn TCP IPv4 sy'n dod i mewn gydag opsiynau ac nid yw'n effeithio ar IPv6, UDP na ICMP. Mae'n gweithio ochr yn ochr ag ufw a firewalld.

Gosodwch nftables os nad yw eisoes wedi'i osod:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Creu'r ffeil rheol:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

I gael y rheol wedi'i hadfer ar ôl pob ailgychwyn, crëwch wasanaeth systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Gwiriwch fod y rheol wedi'i llwytho:

nft list table ip cve_2026_98432

Os byddwch chi'n ailgychwyn y gwasanaeth nftables gyda byd-eang flush ruleset rheol, rhedeg systemctl restart cve-2026-98432 wedyn.

Pwysig: peidiwch â chymhwyso'r rheol hon ar rwydweithiau sy'n defnyddio labeli CIPSO (SELinux neu Smack NetLabel) — defnyddir opsiynau IP fel arfer yno. Os yw'ch gweinydd yn llwybro traffig ar gyfer peiriannau eraill, bydd y rheol hefyd yn gollwng eu pecynnau TCP gydag opsiynau IP.

Analluogwch MPTCP os nad oes ei angen arnoch

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Dim ond atal y gosodiad hwn newydd Socedi MPTCP rhag cael eu creu. Bydd gwasanaethau sydd eisoes yn rhedeg yn parhau i wrando trwy MPTCP, felly ailgychwynwch bob gwasanaeth a restrir gan ss -lnMp a gwnewch yn siŵr bod ei allbwn bellach yn wag.

Ar AlmaLinux, mae MPTCP wedi'i analluogi yn ddiofyn oni bai eich bod wedi'i alluogi eich hun.

Analluogi MPTCP mewn rhaglenni Go

Ar gyfer gwasanaethau a adeiladwyd gyda Go 1.24 neu'n ddiweddarach, gallwch analluogi MPTCP gyda newidyn amgylcheddol. Er enghraifft, ar gyfer gwasanaeth o'r enw myservice:

systemctl edit myservice

Ychwanegwch y canlynol at y ffeil sy'n agor:

[Service]
Environment=GODEBUG=multipathtcp=0

Yna ailgychwynwch y gwasanaeth:

systemctl restart myservice

Diweddaru Pelydr-X

Os yw eich gweinydd yn rhedeg Xray, diweddarwch ef i v26.10.31 neu'n ddiweddarach. Mae'r fersiwn flaenorol, v26.10.29, wedi'i thynnu'n ôl gan ei ddatblygwyr. Mae'r diweddariad hwn yn analluogi MPTCP ond nid yw'n trwsio'r cnewyllyn, felly mae angen diweddariad cnewyllyn o hyd.

Gwiriwch un gosodiad arall

Mae llwybr camfanteisio ail, culach yn gofyn am alluogi mudo ceisiadau. Mae wedi'i ddiffodd yn ddiofyn — gwnewch yn siŵr ohono:

sysctl net.ipv4.tcp_migrate_req

Dylai'r gorchymyn argraffu 0.

Cyfyngu mynediad i'ch gwasanaethau

Caewch bob porthladd wal dân nad oes angen iddo fod yn hygyrch o'r rhyngrwyd. Lle bo modd, agorwch wasanaethau gweinyddol — SSH, paneli rheoli, cronfeydd data — i gyfeiriadau IP dibynadwy yn unig.

Cam 4. Ar ôl gosod y cnewyllyn sefydlog

1. Ailgychwynwch y gweinydd a defnyddiwch y gorchmynion o Gam 1 i gadarnhau bod y cnewyllyn trwsio yn rhedeg.
2. Gallwch chi ddileu'r rheol dros dro:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Os oes angen MPTCP arnoch, adferwch y gosodiad: dileu /etc/sysctl.d/99-disable-mptcp.conf a rhedeg sysctl -w net.mptcp.enabled=1.

Os bydd rhywbeth yn mynd o'i le

Os nad yw'ch gweinydd yn cychwyn ar ôl y diweddariad cnewyllyn, cysylltwch drwy'r consol VNC yn y panel rheoli a dewiswch y cnewyllyn blaenorol yn y ddewislen cychwyn. Os nad ydych yn siŵr y gallwch wneud hyn eich hun, neu os oes angen help arnoch gyda'r diweddariad, cysylltwch â'n tîm cymorth.