Linux Kernelaren Ahultasun Kritikoa CVE-2026-98432: Nola Egiaztatu eta Eguneratu Zure VPSa

2026ko urrian, CVE-2026-98432 ahultasun kritiko bat aurkitu zen Linux kernelean, CVSS eskalan 10etik 9.8ko balorazioa emanez. Sarrerako IPv4 TCP konexioak nola kudeatzen diren eragiten du eta, baldintza jakin batzuetan, erasotzaile bati zerbitzari baterako root sarbidea urrunetik lortzeko aukera ematen dio — pasahitzik gabe eta administratzaileak ekintzarik egin beharrik gabe.

Jarraian, nori eragiten dion, nola egiaztatu zure zerbitzaria eta nola babestu azaltzen da. Komando guztiak root gisa edo honekin exekutatzen dira sudo.

Ahultasuna laburbilduz

• Zer den: IPv4 TCP konexioak konfiguratzen dituen kodean erabili ondoren askatu akats bat, lasterketa baldintza batek eragindakoa. Erasotzaileak bereziki landutako paketeak bidaltzen ditu edozein TCP ataka irekira.
• Kaltetutako haziak: Linux 4.4tik aurrerako bertsio guztiak, hau da, ia egungo banaketa guztiak.
• IPv6 ez dago akats nagusiak eraginda.
• Zein erreala den mehatxua: Anthropic-eko ikertzaileek funtzionamendu-kate bat erakutsi zuten, Multipath TCP (MPTCP) gaituta zuen zerbitzari batean root sarbidea lortu zuena 53 minututan. Esplotazio-kodea ez da argitaratu.
• Erasoak naturan: 2026ko azaroaren 1ean, ez da ustiapenik jakinarazi. Hori lasai eguneratzeko arrazoia da, ez atzeratzeko arrazoia.

Go zerbitzuek arrisku bereizi bat dute. Go 1.24tik aurrera, Linuxeko zerbitzari-programek MPTCP bidezko portuetan entzuten dute lehenespenez, kernelak baimentzen duen bakoitzean. Baliteke administratzaile batek ere ez jakitea bere zerbitzariak konexio horiek onartzen dituenik. Programa ezagunen artean, Xray-k modu honetan funtzionatzen du: bere garatzaileek dagoeneko kaleratu dute larrialdiko bertsio bat, v26.10.31, MPTCP lehenespenez desgaitzen duena.

VPS bakoitzak bere kernel propioa exekutatzen du, beraz, zuk zeuk eguneratu behar duzu kernel hori zure zerbitzariaren barruan. Birtualizazio nodoak geuk eguneratzen ditugu.

Ba al dago konponbiderik zure sistemarentzat?

Egoera 2026ko azaroaren 1ean. Konponketak ia egunero iristen ari dira — begiratu artikulu honen amaieran dauden estekak egungo egoera ikusteko.

1. urratsa. Egiaztatu zein kernel erabiltzen ari zaren

Aurkitu martxan dagoen kernelaren bertsioa:

uname -r

Bertsio zenbakiak berak ez dizu ezer esaten: banaketek konponketak beren kerneletara eramaten dituzte oinarrizko bertsioa aldatu gabe. Fidagarriagoa da kernel paketearen aldaketa erregistroa egiaztatzea — CVE zenbakia aipatzen badu, konponketa dagoeneko instalatuta dago.

Debian eta Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Debian-en, uname -v komandoak martxan dagoen kernelaren paketearen bertsio osoa ere erakusten du: alderatu goiko taularekin.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Komandoak ez badu ezer inprimatzen, martxan dagoen kernela zaurgarria da.

Ondoren, egiaztatu zein zerbitzuk onartzen dituzten konexioak MPTCP bidez. Erasoan honelako zerbitzariak izan ziren helburua:

ss -lnMp

Irteera hutsak esan nahi du ez dagoela MPTCP entzulerik.

2. urratsa. Kernel finkoa instalatu

Egin zure zerbitzariaren babeskopia edo argazki bat kernela eguneratu aurretik.

Debian 12 eta 13

Nukleo finkoak segurtasun biltegian daude. Ziurtatu gaituta dagoela:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Ezer aurkitzen ez bada, gehitu security.debian.org zure argitalpenaren biltegia. Ondoren, eguneratu sistema:

apt update
apt full-upgrade
reboot

Ubuntu

Kernel konponduak ez dira oraindik kaleratu. Bilatu eguneraketak:

apt update
apt list --upgradable | grep linux-image

Zure zerbitzaria Ubuntu Pro-ra konektatuta badago, konponketa plana egiaztatu dezakezu:

pro fix CVE-2026-98432 --dry-run

Konponketa argitaratu ondoren, instalatu eta berrabiarazi:

apt update
apt full-upgrade
reboot

Ordura arte, ziurtatu 3. urratseko aldi baterako babesa aplikatzen duzula.

AlmaLinux 8, 9, 10

Kernel finkoak proba biltegian bakarrik daude eskuragarri une honetan. Instalatu itzazu ekoizpen zerbitzari batean egiteko eroso bazaude, eta ziurtatu argazki bat ateratzen duzula eguneratu aurretik:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Berrabiarazi ondoren, alderatu uname -r goiko taulan agertzen diren bertsioekin. Proba-paketeak instalatu nahi ez badituzu, aplikatu aldi baterako babesa eta itxaron konponketa biltegi nagusira iritsi arte.

Rocky Linux eta beste RHEL oinarritutako sistemak

Ez dago oraindik konponbiderik. Honekin begiratu dezakezu:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Konponketa argitaratu ondoren:

dnf update kernel
reboot

Eguneratzearen ondoren: berrabiarazi behar da

Kernel berriak berrabiarazi ondoren bakarrik hartzen du eragina. Beharrezkoa den egiaztatzeko:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Berrabiarazi ondoren, errepikatu 1. urratseko egiaztapena.

3. urratsa. Aldi baterako babesa kernel finko bat eskuragarri egon arte

Neurri hauek arriskua murrizten dute, baina ez dute kernelaren eguneratzea ordezkatzen.

Blokeatu abiarazle paketeak

Erasoak IPv4 goiburuan IP aukerak dituzten TCP paketeak erabiltzen ditu. Ia inoiz ez dira agertzen trafiko normalean, eta RFC 7126-k dagoeneko gomendatzen du horiek kentzea. Beheko nftables arauak aukerekin sartzen diren IPv4 TCP pakete guztiak kentzen ditu eta ez die eragiten IPv6, UDP edo ICMP-ri. ufw eta firewalld-ekin batera funtzionatzen du.

Instalatu nftables, oraindik instalatuta ez badago:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Sortu arau-fitxategia:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Berrabiarazi ondoren araua leheneratzeko, sortu systemd zerbitzu bat:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Egiaztatu araua kargatuta dagoela:

nft list table ip cve_2026_98432

nftables zerbitzua global batekin berrabiarazten baduzu flush ruleset gobernatu, korrika egin systemctl restart cve-2026-98432 gutxira.

Garrantzitsua: ez aplikatu arau hau CIPSO etiketak erabiltzen dituzten sareetan (SELinux edo Smack NetLabel) — IP aukerak normalean erabiltzen dira han. Zure zerbitzariak beste makinetarako trafikoa bideratzen badu, arauak haien TCP paketeak ere baztertuko ditu IP aukerekin.

Desgaitu MPTCP behar ez baduzu

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ezarpen honek soilik eragozten du berria MPTCP socket-ak sortzea eragotzi. Martxan dauden zerbitzuek MPTCP bidez entzuten jarraituko dute, beraz, berrabiarazi zerrendatutako zerbitzu guztiak ss -lnMp eta ziurtatu bere irteera orain hutsik dagoela.

AlmaLinux-en, MPTCP desgaituta dago lehenespenez, zuk zeuk gaitu ezean.

Desgaitu MPTCP Go programetan

Go 1.24 edo berriagoarekin eraikitako zerbitzuetarako, MPTCP desgaitu dezakezu ingurune-aldagai batekin. Adibidez, izeneko zerbitzu baterako myservice:

systemctl edit myservice

Gehitu hau irekitzen den fitxategira:

[Service]
Environment=GODEBUG=multipathtcp=0

Ondoren, berrabiarazi zerbitzua:

systemctl restart myservice

Eguneratu erradiografia

Zure zerbitzariak Xray erabiltzen badu, eguneratu v26.10.31 edo berriago batera. Aurreko bertsioa, v26.10.29, garatzaileek kendu dute. Eguneratze honek MPTCP desgaitzen du baina ez du kernela konpontzen, beraz, kernela eguneratu behar da oraindik.

Egiaztatu beste ezarpen bat

Bigarren ustiapen bide estuago batek eskaeren migrazioa gaituta egotea eskatzen du. Lehenespenez desaktibatuta dago — ziurtatu horretaz:

sysctl net.ipv4.tcp_migrate_req

Komandoak inprimatu beharko luke 0.

Mugatu zure zerbitzuetarako sarbidea

Itxi internetetik eskuragarri egon behar ez diren suebaki-ataka guztiak. Ahal den guztietan, ireki administrazio-zerbitzuak —SSH, kontrol-panelak, datu-baseak— IP helbide fidagarrietan soilik.

4. urratsa. Kernel finkoa instalatu ondoren

1. Berrabiarazi zerbitzaria eta erabili 1. urratseko komandoak kernel konpontua martxan dagoela baieztatzeko.
2. Aldi baterako araua kendu dezakezu:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. MPTCP behar baduzu, leheneratu ezarpena: ezabatu /etc/sysctl.d/99-disable-mptcp.conf eta exekutatu sysctl -w net.mptcp.enabled=1.

Zerbait gaizki ateratzen bada

Zure zerbitzaria ez bada abiarazten kernela eguneratu ondoren, konektatu kontrol paneleko VNC kontsolaren bidez eta hautatu aurreko kernela abio menuan. Zuk zeuk egin dezakezun ziur ez bazaude, edo eguneratzearekin laguntza behar baduzu, jarri harremanetan gure laguntza taldearekin.