Kritische Linux-Kernel-Sicherheitslücke CVE-2026-98432: So überprüfen und aktualisieren Sie Ihren VPS

Im Oktober 2026 wurde im Linux-Kernel eine kritische Sicherheitslücke ( CVE-2026-98432 ) entdeckt, die auf der CVSS-Skala mit 9.8 von 10 Punkten bewertet wurde. Sie betrifft die Verarbeitung eingehender IPv4-TCP-Verbindungen und ermöglicht es einem Angreifer unter bestimmten Bedingungen, aus der Ferne Root-Zugriff auf einen Server zu erlangen – ohne Passwort und ohne Eingreifen des Administrators.

Im Folgenden erfahren Sie, wer betroffen ist, wie Sie Ihren Server überprüfen und wie Sie ihn schützen können. Alle Befehle werden als Root oder mit Administratorrechten ausgeführt. sudo.

Die Verwundbarkeit in Kürze

• Was es ist: Ein Use-After-Free-Fehler im Code, der IPv4-TCP-Verbindungen herstellt, wird durch eine Race Condition verursacht. Der Angreifer sendet speziell präparierte Pakete an jeden offenen TCP-Port.
• Betroffene Kerne: jede Version seit Linux 4.4, also praktisch jede aktuelle Distribution.
• IPv6 ist vom Hauptfehler nicht betroffen.
• Wie real die Bedrohung ist: Anthropische Forscher demonstrierten eine funktionierende Exploit-Kette, die innerhalb von etwa 53 Minuten Root-Zugriff auf einen Server mit aktiviertem Multipath TCP (MPTCP) erlangte. Der Exploit-Code wurde nicht veröffentlicht.
• Angriffe in freier Wildbahn: Bis zum 1. November 2026 wurden keine Missbrauchsfälle gemeldet. Das ist ein Grund, die Aktualisierung gelassen anzugehen, nicht ein Grund, sie aufzuschieben.

Go-Dienste bergen ein gesondertes Risiko. Seit Go 1.24 lauschen Serverprogramme unter Linux standardmäßig über MPTCP auf Ports, sofern der Kernel dies zulässt. Administratoren wissen unter Umständen gar nicht, dass ihr Server solche Verbindungen akzeptiert. Das beliebte Programm Xray arbeitet auf diese Weise – die Entwickler haben bereits eine Notfallversion (v26.10.31) veröffentlicht, die MPTCP standardmäßig deaktiviert.

Jeder VPS verwendet seinen eigenen Kernel, daher müssen Sie den Kernel auf Ihrem Server selbst aktualisieren. Wir aktualisieren die Virtualisierungsknoten selbst.

Gibt es eine Lösung für Ihr System?

Stand: 1. November 2026. Fast täglich werden Fehlerbehebungen eingespielt – den aktuellen Stand finden Sie in den Links am Ende dieses Artikels.

Schritt 1. Überprüfen Sie, welchen Kernel Sie verwenden.

Ermitteln Sie die Version des laufenden Kernels:

uname -r

Die Versionsnummer allein ist nicht aussagekräftig: Distributionen integrieren Korrekturen in ihre eigenen Kernel, ohne die Basisversion zu ändern. Zuverlässiger ist es, das Änderungsprotokoll des Kernel-Pakets zu prüfen – wird dort die CVE-Nummer erwähnt, ist die Korrektur bereits installiert.

Debian und Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Unter Debian, uname -v Der Befehl zeigt auch die vollständige Paketversion des laufenden Kernels an: Vergleichen Sie diese mit der obigen Tabelle.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Wenn der Befehl nichts ausgibt, ist der laufende Kernel angreifbar.

Prüfen Sie als Nächstes, welche Dienste Verbindungen über MPTCP akzeptieren. Server wie diese waren das Ziel des demonstrierten Angriffs:

ss -lnMp

Eine leere Ausgabe bedeutet, dass keine MPTCP-Listener vorhanden sind.

Schritt 2. Installieren Sie den korrigierten Kernel.

Erstellen Sie vor dem Aktualisieren des Kernels eine Sicherungskopie oder einen Snapshot Ihres Servers.

Debian 12 und 13

Die korrigierten Kernel befinden sich im Sicherheits-Repository. Stellen Sie sicher, dass es aktiviert ist:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Falls nichts gefunden wird, füge Folgendes hinzu: security.debian.org Repository für Ihre Version. Aktualisieren Sie anschließend das System:

apt update
apt full-upgrade
reboot

Ubuntu

Die korrigierten Kernel wurden noch nicht veröffentlicht. Prüfen Sie auf Aktualisierungen:

apt update
apt list --upgradable | grep linux-image

Wenn Ihr Server an Ubuntu Pro angebunden ist, können Sie den Reparaturplan überprüfen:

pro fix CVE-2026-98432 --dry-run

Sobald der Fix veröffentlicht ist, installieren Sie ihn und starten Sie den Computer neu:

apt update
apt full-upgrade
reboot

Bis dahin ist unbedingt der in Schritt 3 beschriebene temporäre Schutz anzuwenden.

AlmaLinux 8, 9, 10

Korrigierte Kernel sind derzeit nur im Test-Repository verfügbar. Installieren Sie sie nur, wenn Sie sich mit der Installation auf einem Produktivserver auskennen, und erstellen Sie unbedingt einen Snapshot vor dem Update.

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Nach dem Neustart vergleichen uname -r mit den Versionen in der obigen Tabelle. Wenn Sie die Testpakete lieber nicht installieren möchten, aktivieren Sie den temporären Schutz und warten Sie, bis die Korrektur im Haupt-Repository verfügbar ist.

Rocky Linux und andere RHEL-basierte Systeme

Es gibt noch keine Lösung. Sie können die Entwicklung mit folgendem Programm beobachten:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Sobald der Fix veröffentlicht ist:

dnf update kernel
reboot

Nach dem Update ist ein Neustart erforderlich.

Der neue Kernel wird erst nach einem Neustart wirksam. So prüfen Sie, ob ein Neustart erforderlich ist:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Nach dem Neustart muss die Überprüfung ab Schritt 1 wiederholt werden.

Schritt 3. Vorübergehender Schutz, bis ein korrigierter Kernel verfügbar ist

Diese Maßnahmen verringern das Risiko, ersetzen aber kein Kernel-Update.

Blockiere die Triggerpakete

Der Angriff nutzt TCP-Pakete mit IP-Optionen im IPv4-Header. Diese Pakete kommen im normalen Datenverkehr praktisch nie vor, und RFC 7126 empfiehlt bereits, sie zu verwerfen. Die untenstehende nftables-Regel verwirft alle eingehenden IPv4-TCP-Pakete mit Optionen und hat keine Auswirkungen auf IPv6, UDP oder ICMP. Sie funktioniert parallel zu ufw und firewalld.

Installieren Sie nftables, falls es noch nicht installiert ist:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Regeldatei erstellen:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Um die Regel nach jedem Neustart wiederherzustellen, erstellen Sie einen systemd-Dienst:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Prüfen Sie, ob die Regel geladen ist:

nft list table ip cve_2026_98432

Wenn Sie den nftables-Dienst mit einem globalen neu starten flush ruleset Regel, ausführen systemctl restart cve-2026-98432 danach.

Wichtig: Diese Regel darf nicht in Netzwerken mit CIPSO-Labels (SELinux oder Smack NetLabel) angewendet werden, da dort üblicherweise IP-Optionen verwendet werden. Wenn Ihr Server Datenverkehr für andere Rechner weiterleitet, werden deren TCP-Pakete mit IP-Optionen ebenfalls verworfen.

Deaktivieren Sie MPTCP, wenn Sie es nicht benötigen.

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Diese Einstellung verhindert lediglich neu Die Erstellung von MPTCP-Sockets wird verhindert. Bereits laufende Dienste lauschen weiterhin über MPTCP, daher müssen alle aufgelisteten Dienste neu gestartet werden. ss -lnMp und stellen Sie sicher, dass die Ausgabe nun leer ist.

Unter AlmaLinux ist MPTCP standardmäßig deaktiviert, es sei denn, Sie haben es selbst aktiviert.

MPTCP in Go-Programmen deaktivieren

Bei Diensten, die mit Go 1.24 oder höher erstellt wurden, kann MPTCP mithilfe einer Umgebungsvariablen deaktiviert werden. Zum Beispiel für einen Dienst namens myservice:

systemctl edit myservice

Fügen Sie Folgendes in die sich öffnende Datei ein:

[Service]
Environment=GODEBUG=multipathtcp=0

Starten Sie anschließend den Dienst neu:

systemctl restart myservice

Röntgenbild aktualisieren

Wenn auf Ihrem Server Xray läuft, aktualisieren Sie es auf Version 26.10.31 oder höher. Die vorherige Version, 26.10.29, wird von den Entwicklern nicht mehr unterstützt. Dieses Update deaktiviert MPTCP, behebt aber nicht den Kernel-Fehler; ein Kernel-Update ist daher weiterhin erforderlich.

Überprüfen Sie noch eine Einstellung.

Ein zweiter, enger gefasster Angriffsweg erfordert die Aktivierung der Anforderungsmigration. Diese ist standardmäßig deaktiviert – stellen Sie sicher, dass sie aktiviert ist:

sysctl net.ipv4.tcp_migrate_req

Der Befehl sollte ausgeben 0.

Beschränken Sie den Zugriff auf Ihre Dienste

Schließen Sie alle Firewall-Ports, die nicht aus dem Internet erreichbar sein müssen. Öffnen Sie administrative Dienste – SSH, Kontrollpanels, Datenbanken – nach Möglichkeit nur für vertrauenswürdige IP-Adressen.

Schritt 4. Nach der Installation des korrigierten Kernels

1. Starten Sie den Server neu und verwenden Sie die Befehle aus Schritt 1, um zu bestätigen, dass der korrigierte Kernel ausgeführt wird.
2. Sie können die temporäre Regel entfernen:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Falls Sie MPTCP benötigen, stellen Sie die Einstellung wieder her: löschen /etc/sysctl.d/99-disable-mptcp.conf und Renn sysctl -w net.mptcp.enabled=1.

Wenn etwas schief läuft

Falls Ihr Server nach dem Kernel-Update nicht startet, verbinden Sie sich über die VNC-Konsole im Control Panel und wählen Sie im Bootmenü den vorherigen Kernel aus. Wenn Sie sich nicht sicher sind, ob Sie dies selbst durchführen können, oder Hilfe beim Update benötigen, wenden Sie sich bitte an unser Support-Team.