Kriitiline Linuxi kerneli haavatavus CVE-2026-98432: Kuidas kontrollida ja värskendada oma VPS-i

2026. aasta oktoobris leiti Linuxi kernelist kriitiline haavatavus CVE-2026-98432 , millele anti CVSS-skaalal hindeks 9.8 kümnest. See mõjutab sissetulevate IPv4 TCP-ühenduste käsitlemist ja võimaldab teatud tingimustel ründajal saada serverile juurjuurdepääsu kaugjuurdepääsu – ilma parooli ja administraatoripoolsete toiminguteta.

Allpool on kirjas, keda see mõjutab, kuidas oma serverit kontrollida ja kuidas seda kaitsta. Kõik käsud käivitatakse root'ina või sudo.

Haavatavuse lühidalt

• Mis see on: IPv4 TCP-ühendusi seadistavas koodis esinev pärast vabastamist teostatav viga, mille põhjustab võidujooksutingimus. Ründaja saadab spetsiaalselt loodud pakette mis tahes avatud TCP-porti.
• Mõjutatud tuumad: iga versioon alates Linux 4.4-st, mis tähendab praktiliselt iga praegust distributsiooni.
• IPv6 peamine viga ei mõjuta.
• Kui reaalne on oht: Antropoloogiauurijad demonstreerisid toimivat rünnakuahelat, mis sai umbes 53 minutiga serveris, millel oli lubatud Multipath TCP (MPTCP), juurjuurdepääsu. Rakendamiskoodi pole avaldatud.
• Rünnakud looduses: 1. novembri 2026 seisuga pole ühestki ärakasutamisest teatatud. See on põhjus rahulikult uuendada, mitte seda edasi lükata.

Go teenustega kaasneb eraldi risk. Alates Go 1.24-st kuulavad Linuxi serveriprogrammid vaikimisi MPTCP kaudu porte alati, kui kernel seda lubab. Administraator ei pruugi isegi teada, et tema server selliseid ühendusi aktsepteerib. Populaarsete programmide seas töötab Xray just sel viisil – selle arendajad on juba välja andnud avariiversiooni v26.10.31, mis keelab MPTCP vaikimisi.

Igal VPS-il on oma kernel, seega peate oma serveri sees oleva kerneli ise uuendama. Meie uuendame virtualiseerimissõlmi ise.

Kas teie süsteemile on lahendus?

Seisund seisuga 1. november 2026. Parandusi tuleb peaaegu iga päev – praeguse oleku leiate selle artikli lõpus olevatelt linkidelt.

1. samm. Kontrollige, millist kernelit te kasutate

Uurige töötava kerneli versiooni:

uname -r

Ainuüksi versiooninumber ei ütle midagi: distributsioonid pordivad parandused oma kernelitesse tagasi ilma baasversiooni muutmata. Usaldusväärsem on kontrollida kerneli paketi muudatuste logi – kui see mainib CVE numbrit, on parandus juba installitud.

Debian ja Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Debiani peal uname -v käsk näitab ka töötava kerneli täispaketi versiooni: võrrelge seda ülaltoodud tabeliga.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Kui käsk ei väljasta midagi, on töötav kernel haavatav.

Järgmisena kontrollige, millised teenused aktsepteerivad MPTCP kaudu ühendusi. Sellised serverid olid demonstreeritud rünnaku sihtmärgiks:

ss -lnMp

Tühi väljund tähendab, et MPTCP kuulajaid pole.

2. samm. Paigaldage fikseeritud kernel

Enne kerneli värskendamist tehke oma serverist varukoopia või hetktõmmis.

Debian 12 ja 13

Parandatud tuumad asuvad turvarepositooriumis. Veenduge, et see oleks lubatud:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Kui midagi ei leita, lisage security.debian.org oma väljalaske repositoorium. Seejärel värskenda süsteemi:

apt update
apt full-upgrade
reboot

Ubuntu

Parandatud kerneleid pole veel välja antud. Kontrollige värskendusi:

apt update
apt list --upgradable | grep linux-image

Kui teie server on ühendatud Ubuntu Pro-ga, saate parandusplaani kontrollida:

pro fix CVE-2026-98432 --dry-run

Kui parandus on avaldatud, installige see ja taaskäivitage arvuti:

apt update
apt full-upgrade
reboot

Seni rakenda kindlasti 3. sammus kirjeldatud ajutist kaitset.

AlmaLinux 8, 9, 10

Parandatud kernelid on praegu saadaval ainult testimisrepositooriumis. Paigaldage need, kui tunnete end tootmisserveris mugavalt, ja tehke enne värskendamist kindlasti hetktõmmis:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Pärast taaskäivitamist võrrelge uname -r ülaltoodud tabelis olevate versioonidega. Kui te ei soovi testimispakette installida, rakendage ajutist kaitset ja oodake, kuni parandus jõuab peahoidlasse.

Rocky Linux ja muud RHEL-põhised süsteemid

Parandust veel pole. Seda saab jälgida järgmiselt:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Kui parandus on avaldatud:

dnf update kernel
reboot

Pärast värskendamist: vajalik on taaskäivitus

Uus kernel jõustub alles pärast taaskäivitamist. Selle vajaduse kontrollimiseks toimige järgmiselt.

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Pärast taaskäivitamist korrake 1. sammu kontrolli.

3. samm. Ajutine kaitse, kuni parandatud kernel on saadaval

Need meetmed vähendavad riski, kuid ei asenda kerneli värskendust.

Blokeeri käivituspaketid

Rünnak kasutab TCP-pakette, mille IPv4 päises on IP-valikud. Need ei ilmu tavaliikluses praktiliselt kunagi ja RFC 7126 juba soovitab need eemaldada. Allolev nftables'i reegel eemaldab kõik sissetulevad IPv4 TCP-paketid valikutega ja ei mõjuta IPv6, UDP ega ICMP protokolli. See töötab koos ufw ja firewalld-ga.

Paigalda nftables, kui see pole veel installitud:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Loo reeglifail:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Reegli taastamiseks pärast iga taaskäivitamist looge süsteemne teenus:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Kontrollige, kas reegel on laaditud:

nft list table ip cve_2026_98432

Kui taaskäivitate nftables teenuse globaalse flush ruleset valitsema, jooksma systemctl restart cve-2026-98432 pärast seda.

Tähtis: ärge rakendage seda reeglit võrkudes, mis kasutavad CIPSO silte (SELinux või Smack NetLabel) — IP-suvandeid kasutatakse seal tavaliselt. Kui teie server suunab liiklust teistele masinatele, siis reegel loobub ka nende TCP-pakettidest IP-suvanditega.

Keela MPTCP, kui sa seda ei vaja

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

See säte ainult takistab uus MPTCP soklite loomise keelamine. Juba töötavad teenused kuulavad edasi MPTCP kaudu, seega taaskäivitage kõik loetletud teenused. ss -lnMp ja veenduge, et selle väljund on nüüd tühi.

AlmaLinuxis on MPTCP vaikimisi keelatud, kui te pole seda ise lubanud.

Keela MPTCP Go programmides

Go 1.24 või uuema versiooniga loodud teenuste puhul saate MPTCP keskkonnamuutujaga keelata. Näiteks teenuse nimega myservice:

systemctl edit myservice

Lisa avanevas failis järgmine:

[Service]
Environment=GODEBUG=multipathtcp=0

Seejärel taaskäivitage teenus:

systemctl restart myservice

Värskenda röntgenit

Kui teie server kasutab Xray'd, värskendage see versioonile 26.10.31 või uuemale. Eelmise versiooni, v26.10.29, on arendajad tagasi võtnud. See värskendus keelab MPTCP, kuid ei paranda kerneli, seega on kerneli värskendamine siiski vajalik.

Kontrollige veel ühte seadet

Teine, kitsam ärakasutamise tee nõuab päringute migratsiooni lubamist. See on vaikimisi välja lülitatud – veenduge, et see oleks lubatud:

sysctl net.ipv4.tcp_migrate_req

Käsk peaks välja printima 0.

Piira juurdepääsu oma teenustele

Sulgege kõik tulemüüri pordid, mis ei pea olema internetist ligipääsetavad. Võimaluse korral avage haldusteenused – SSH, juhtpaneelid, andmebaasid – ainult usaldusväärsetele IP-aadressidele.

4. samm. Pärast parandatud kerneli installimist

1. Taaskäivitage server ja kasutage 1. sammu käske, et kinnitada parandatud kerneli töötamist.
2. Saate ajutise reegli eemaldada:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Kui vajate MPTCP-d, taastage säte: kustuta /etc/sysctl.d/99-disable-mptcp.conf ja jookse sysctl -w net.mptcp.enabled=1.

Kui midagi läheb valesti

Kui teie server pärast kerneli värskendamist ei käivitu, looge ühendus juhtpaneelil VNC konsooli kaudu ja valige käivitusmenüüst eelmine kernel. Kui te pole kindel, kas saate seda ise teha või vajate värskendamisega abi, võtke ühendust meie tugimeeskonnaga.