Kritika Vundebleco de Linuksa Kerno CVE-2026-98432: Kiel Kontroli kaj Ĝisdatigi Vian VPS

En oktobro 2026, kritika vundebleco, CVE-2026-98432 , estis trovita en la Linuksa kerno, taksita je 9.8 el 10 sur la CVSS-skalo. Ĝi influas kiel alvenantaj IPv4 TCP-konektoj estas traktataj kaj, sub certaj kondiĉoj, permesas al atakanto akiri administran aliron al servilo malproksime — sen pasvorto kaj sen necesa ago de la administranto.

Jen estas kiu estas koncerna, kiel kontroli vian servilon kaj kiel protekti ĝin. Ĉiuj komandoj estas plenumataj kiel administranto aŭ per sudo.

La vundebleco mallonge

• Kio ĝi estas: cimo de tipo "uzu-post-liberigo" en la kodo, kiu starigas IPv4 TCP-konektojn, kaŭzita de konkurskondiĉo. La atakanto sendas speciale kreitajn pakaĵetojn al iu ajn malferma TCP-haveno.
• Trafitaj kernoj: ĉiun version ekde Linukso 4.4, kio signifas preskaŭ ĉiun nunan distribuaĵon.
• IPv6 ne estas trafita de la ĉefa cimo.
• Kiel reala estas la minaco: Antropaj esploristoj montris funkciantan ekspluatĉenon kiu akiris administran aliron al servilo kun Multipath TCP (MPTCP) ebligita en ĉirkaŭ 53 minutoj. La ekspluatkodo ne estis publikigita.
• Atakoj en la naturo: Ĝis la 1-a de novembro 2026, neniu ekspluatado estis raportita. Tio estas kialo por trankvile ĝisdatigi, ne kialo por prokrasti ĝin.

Go-servoj portas apartan riskon. Ekde Go 1.24, servilaj programoj en Linukso defaŭlte aŭskultas pordojn per MPTCP kiam ajn la kerno permesas tion. Administranto eble eĉ ne scias, ke ilia servilo akceptas tiajn konektojn. Inter popularaj programoj, Xray funkcias tiel — ĝiaj programistoj jam publikigis krizan version, v26.10.31, kiu defaŭlte malŝaltas MPTCP.

Ĉiu VPS funkciigas sian propran kernon, do vi devas ĝisdatigi la kernon ene de via servilo mem. Ni mem ĝisdatigas la virtualigajn nodojn.

Ĉu ekzistas solvo por via sistemo?

Stato je la 1a de novembro 2026. Riparoj alvenas preskaŭ ĉiutage — kontrolu la ligilojn ĉe la fino de ĉi tiu artikolo por la aktuala stato.

Paŝo 1. Kontrolu kiun kernon vi uzas

Trovu la version de la funkcianta kerno:

uname -r

La versinumero sole nenion diras: distribuaĵoj retroportas korektojn en siajn proprajn kernojn sen ŝanĝi la bazan version. Estas pli fidinde kontroli la ŝanĝprotokolon de la kerna pakaĵo — se ĝi mencias la CVE-numeron, la korekto jam estas instalita.

Debiano kaj Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

En Debiano, la uname -v La komando ankaŭ montras la plenan pakaĵversion de la kuranta kerno: komparu ĝin kun la supra tabelo.

AlmaLinux, Rocky Linukso, RHEL, Oracle Linukso:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Se la komando presas nenion, la kuranta kerno estas vundebla.

Poste, kontrolu kiuj servoj akceptas konektojn per MPTCP. Serviloj kiel ĉi tiuj estis la celo en la montrita atako:

ss -lnMp

Malplena eligo signifas, ke ne estas MPTCP-aŭskultantoj.

Paŝo 2. Instalu la fiksitan kernon

Faru sekurkopion aŭ momentfoton de via servilo antaŭ ol ĝisdatigi la kernon.

Debiano 12 kaj 13

La riparitaj kernoj estas en la sekureca deponejo. Certigu, ke ĝi estas ebligita:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Se nenio troviĝas, aldonu la security.debian.org deponejo por via eldono. Poste ĝisdatigu la sistemon:

apt update
apt full-upgrade
reboot

ubuntu

Riparitaj kernoj ankoraŭ ne estas publikigitaj. Kontrolu ĝisdatigojn:

apt update
apt list --upgradable | grep linux-image

Se via servilo estas ligita al Ubuntu Pro, vi povas kontroli la riparplanon:

pro fix CVE-2026-98432 --dry-run

Post kiam la riparo estos publikigita, instalu ĝin kaj rekomencu:

apt update
apt full-upgrade
reboot

Ĝis tiam, nepre apliku la provizoran protekton de Paŝo 3.

AlmaLinux 8, 9, 10

Riparitaj kernoj nuntempe haveblas nur en la testa deponejo. Instalu ilin se vi komfortas fari tion sur produktada servilo, kaj nepre faru momentfoton antaŭ ol ĝisdatigi:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Post restartigo, komparu uname -r kun la versioj en la supra tabelo. Se vi preferas ne instali testajn pakaĵojn, apliku la provizoran protekton kaj atendu, ke la riparo atingu la ĉefan deponejon.

Rocky Linukso kaj aliaj RHEL-bazitaj sistemoj

Ankoraŭ ne ekzistas solvo. Vi povas observi ĝin per:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Post kiam la riparo estos publikigita:

dnf update kernel
reboot

Post ĝisdatigo: necesas restartigi

La nova kerno ekvalidas nur post restartigo. Por kontroli ĉu unu estas bezonata:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Post restartiĝo, ripetu la kontrolon de Paŝo 1.

Paŝo 3. Provizora protekto ĝis kiam fiksita kerno estos havebla

Ĉi tiuj mezuroj reduktas la riskon sed ne anstataŭigas kernan ĝisdatigon.

Bloku la ellasilajn pakaĵetojn

La atako uzas TCP-pakaĵetojn kun IP-opcioj en la IPv4-kaplinio. Ili preskaŭ neniam aperas en normala trafiko, kaj RFC 7126 jam rekomendas ilin forigi. La nftables-regulo sube forigas ĉiujn alvenantajn IPv4 TCP-pakaĵetojn kun opcioj kaj ne influas IPv6, UDP aŭ ICMP. Ĝi funkcias kune kun ufw kaj firewalld.

Instalu nftables se ĝi ne jam estas instalita:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Kreu la reguldosieron:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Por restarigi la regulon post ĉiu restartigo, kreu systemd-servon:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Kontrolu, ke la regulo estas ŝargita:

nft list table ip cve_2026_98432

Se vi rekomencas la nftables-servon per tutmonda flush ruleset regi, kuri systemctl restart cve-2026-98432 poste.

Grave: ne apliku ĉi tiun regulon al retoj uzantaj CIPSO-etikedojn (SELinux aŭ Smack NetLabel) — IP-opcioj estas normale uzataj tie. Se via servilo direktas trafikon por aliaj maŝinoj, la regulo ankaŭ forigos iliajn TCP-pakaĵojn kun IP-opcioj.

Malŝalti MPTCP se vi ne bezonas ĝin

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ĉi tiu agordo nur malhelpas nova MPTCP-ingoj estu kreitaj. Servoj kiuj jam funkcias daŭre aŭskultos per MPTCP, do rekomencu ĉiun servon listigitan de ss -lnMp kaj certigu, ke ĝia eligo nun estas malplena.

Ĉe AlmaLinux, MPTCP estas defaŭlte malŝaltita krom se vi mem ebligis ĝin.

Malŝalti MPTCP en Go-programoj

Por servoj konstruitaj per Go 1.24 aŭ pli nova, vi povas malŝalti MPTCP per ĉirkaŭa variablo. Ekzemple, por servo nomata myservice:

systemctl edit myservice

Aldonu la jenon al la dosiero, kiu malfermiĝas:

[Service]
Environment=GODEBUG=multipathtcp=0

Poste rekomencu la servon:

systemctl restart myservice

Ĝisdatigu Rentgenan Radiografion

Se via servilo uzas Xray, ĝisdatigu ĝin al v26.10.31 aŭ pli nova. La antaŭa versio, v26.10.29, estis retirita de ĝiaj programistoj. Ĉi tiu ĝisdatigo malŝaltas MPTCP sed ne riparas la kernon, do kerna ĝisdatigo ankoraŭ necesas.

Marku unu plian agordon

Dua, pli mallarĝa ekspluatvojo postulas, ke petomigrado estu ebligita. Ĝi estas malŝaltita defaŭlte — certigu pri tio:

sysctl net.ipv4.tcp_migrate_req

La komando devus presi 0.

Limigu aliron al viaj servoj

Fermu ĉiun fajromuran pordon, kiu ne devas esti atingebla de la interreto. Kie eble, malfermu administrajn servojn — SSH, kontrolpanelojn, datumbazojn — nur al fidindaj IP-adresoj.

Paŝo 4. Post instalado de la fiksita kerno

1. Rekomencu la servilon kaj uzu la komandojn de Paŝo 1 por konfirmi, ke la riparita kerno funkcias.
2. Vi povas forigi la provizoran regulon:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Se vi bezonas MPTCP, restarigu la agordon: forigu /etc/sysctl.d/99-disable-mptcp.conf kaj kuri sysctl -w net.mptcp.enabled=1.

Se io misfunkcias

Se via servilo ne ekfunkcias post la ĝisdatigo de la kerna sistemo, konektu per la VNC-konzolo en la kontrolpanelo kaj elektu la antaŭan kernon en la ekfunkciiga menuo. Se vi ne certas, ke vi povas fari tion mem, aŭ bezonas helpon pri la ĝisdatigo, kontaktu nian subtenan teamon.