Kriittinen Linux-ytimen haavoittuvuus CVE-2026-98432: Kuinka tarkistaa ja päivittää VPS:si

Lokakuussa 2026 Linux-ytimestä löydettiin kriittinen haavoittuvuus, CVE-2026-98432 , jonka CVSS-asteikolla arvioitiin 9.8/10. Se vaikuttaa siihen, miten saapuvia IPv4 TCP -yhteyksiä käsitellään, ja tietyissä olosuhteissa hyökkääjä voi saada pääkäyttäjän oikeudet palvelimelle etänä – ilman salasanaa tai järjestelmänvalvojan toimia.

Alla on lueteltu, keitä tämä koskee, miten palvelimesi tarkistetaan ja miten se suojataan. Kaikki komennot suoritetaan pääkäyttäjänä tai käyttäjänimellä sudo.

Haavoittuvuus lyhyesti

• Mitä se on: Koodivirhe, joka muodostaa IPv4 TCP -yhteyksiä ja jonka aiheuttaa kilpailutilanne. Hyökkääjä lähettää erityisesti muotoiltuja paketteja mihin tahansa avoimeen TCP-porttiin.
• Vaikuttavat ytimet: jokaisessa versiossa Linux 4.4:stä lähtien, mikä tarkoittaa käytännössä jokaista nykyistä jakelua.
• IPv6 ei ole päävirheen vaikutuspiirissä.
• Kuinka todellinen uhka on: Antrooppiset tutkijat esittelivät toimivan hyökkäysketjun, joka sai pääkäyttäjän oikeudet palvelimelle, jossa Multipath TCP (MPTCP) oli käytössä, noin 53 minuutissa. Hyödyntämiskoodia ei ole julkaistu.
• Hyökkäykset luonnossa: 1. marraskuuta 2026 mennessä ei ole raportoitu hyväksikäyttötapauksia. Tämä on syy päivittää tiedot rauhallisesti, ei lykätä sitä.

Go-palveluihin liittyy erillinen riski. Go 1.24:stä lähtien Linux-palvelinohjelmat kuuntelevat portteja MPTCP:n kautta oletuksena aina, kun kernel sen sallii. Ylläpitäjä ei välttämättä edes tiedä, että heidän palvelimensa hyväksyy tällaiset yhteydet. Suosituista ohjelmista Xray toimii tällä tavalla – sen kehittäjät ovat jo julkaisseet hätäversion, v26.10.31, joka poistaa MPTCP:n käytöstä oletuksena.

Jokainen VPS käyttää omaa ydintään, joten sinun on päivitettävä palvelimesi ydin itse. Päivitämme virtualisointisolmut itse.

Onko järjestelmäänne korjausta?

Tilanne 1. marraskuuta 2026. Korjauksia tulee lähes päivittäin – tarkista nykyinen tila tämän artikkelin lopusta.

Vaihe 1. Tarkista, mitä ydintä käytät

Selvitä käynnissä olevan ytimen versio:

uname -r

Pelkkä versionumero ei kerro mitään: jakelut siirtävät korjaukset takaisin omiin ytimiinsä muuttamatta perusversiota. Luotettavampaa on tarkistaa ytimen paketin muutosloki – jos se mainitsee CVE-numeron, korjaus on jo asennettu.

Debian ja Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Debianissa uname -v komento näyttää myös käynnissä olevan ytimen täyden pakettiversion: vertaa sitä yllä olevaan taulukkoon.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Jos komento ei tulosta mitään, käynnissä oleva ydin on haavoittuvainen.

Tarkista seuraavaksi, mitkä palvelut hyväksyvät yhteyksiä MPTCP:n kautta. Tällaiset palvelimet olivat kohteena esitellyssä hyökkäyksessä:

ss -lnMp

Tyhjä lähtö tarkoittaa, että MPTCP-kuuntelijoita ei ole.

Vaihe 2. Asenna kiinteä ydin

Ota varmuuskopio tai tilannekuva palvelimestasi ennen ytimen päivittämistä.

Debian 12 ja 13

Korjatut ytimet löytyvät suojausrepositoriosta. Varmista, että se on käytössä:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Jos mitään ei löydy, lisää security.debian.org julkaisusi arkisto. Päivitä sitten järjestelmä:

apt update
apt full-upgrade
reboot

Ubuntu

Korjattuja ytimiä ei ole vielä julkaistu. Tarkista päivitykset:

apt update
apt list --upgradable | grep linux-image

Jos palvelimesi on liitetty Ubuntu Prohon, voit tarkistaa korjaussuunnitelman:

pro fix CVE-2026-98432 --dry-run

Kun korjaus on julkaistu, asenna se ja käynnistä tietokone uudelleen:

apt update
apt full-upgrade
reboot

Siihen asti muista käyttää vaiheessa 3 kuvattua väliaikaista suojausta.

AlmaLinux 8, 9, 10

Korjattuja ytimiä on tällä hetkellä saatavilla vain testirepositoriossa. Asenna ne, jos olet tottunut tekemään niin tuotantopalvelimella, ja muista ottaa tilannekuva ennen päivittämistä:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Vertaa uudelleenkäynnistyksen jälkeen uname -r yllä olevan taulukon versioiden kanssa. Jos et halua asentaa testipaketteja, käytä väliaikaista suojausta ja odota, että korjaus saapuu pääarkistoon.

Rocky Linux ja muut RHEL-pohjaiset järjestelmät

Korjausta ei ole vielä. Voit seurata sitä seuraavasti:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Kun korjaus on julkaistu:

dnf update kernel
reboot

Päivityksen jälkeen: uudelleenkäynnistys vaaditaan

Uusi ydin tulee voimaan vasta uudelleenkäynnistyksen jälkeen. Tarkista, tarvitaanko sitä:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Uudelleenkäynnistyksen jälkeen toista tarkistus vaiheesta 1 alkaen.

Vaihe 3. Väliaikainen suojaus, kunnes korjattu ydin on saatavilla

Nämä toimenpiteet vähentävät riskiä, ​​mutta eivät korvaa ytimen päivitystä.

Estä liipaisupaketit

Hyökkäys käyttää TCP-paketteja, joiden IPv4-otsikkoosassa on IP-asetuksia. Ne eivät käytännössä koskaan esiinny normaalissa liikenteessä, ja RFC 7126 jo suosittelee niiden hylkäämistä. Alla oleva nftables-sääntö hylkää kaikki saapuvat IPv4 TCP -paketit, joissa on asetuksia, eikä se vaikuta IPv6-, UDP- tai ICMP-protokolliin. Se toimii ufw:n ja firewalld:n rinnalla.

Asenna nftables, jos sitä ei ole jo asennettu:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Luo sääntötiedosto:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Jotta sääntö palautetaan jokaisen uudelleenkäynnistyksen jälkeen, luo systemd-palvelu:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Tarkista, että sääntö on ladattu:

nft list table ip cve_2026_98432

Jos käynnistät nftables-palvelun uudelleen globaalilla flush ruleset sääntö, juosta systemctl restart cve-2026-98432 jälkeen.

Tärkeää: älä käytä tätä sääntöä verkoissa, jotka käyttävät CIPSO-tunnisteita (SELinux tai Smack NetLabel) — IP-asetuksia käytetään niissä normaalisti. Jos palvelimesi reitittää liikennettä muille koneille, sääntö poistaa myös niiden TCP-paketit IP-asetuksilla.

Poista MPTCP käytöstä, jos et tarvitse sitä

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Tämä asetus estää vain uusi MPTCP-sockettien luominen estetään. Jo käynnissä olevat palvelut kuuntelevat edelleen MPTCP:tä, joten käynnistä uudelleen jokainen kohdassa lueteltu palvelu. ss -lnMp ja varmista, että sen tuloste on nyt tyhjä.

AlmaLinuxissa MPTCP on oletuksena pois käytöstä, ellet ole itse ottanut sitä käyttöön.

Poista MPTCP käytöstä Go-ohjelmissa

Go 1.24:llä tai uudemmalla versiolla rakennetuissa palveluissa voit poistaa MPTCP:n käytöstä ympäristömuuttujalla. Esimerkiksi palvelussa nimeltä myservice:

systemctl edit myservice

Lisää avautuvaan tiedostoon seuraavat tiedot:

[Service]
Environment=GODEBUG=multipathtcp=0

Käynnistä sitten palvelu uudelleen:

systemctl restart myservice

Päivitä röntgen

Jos palvelimellasi on käytössä Xray, päivitä se versioon 26.10.31 tai uudempaan. Edellinen versio, 26.10.29, on kehittäjiensä toimesta poistettu. Tämä päivitys poistaa MPTCP:n käytöstä, mutta ei korjaa ydintä, joten ytimen päivitys on silti tarpeen.

Tarkista vielä yksi asetus

Toinen, kapeampi hyödyntämispolku edellyttää pyyntöjen siirron käyttöönottoa. Se on oletusarvoisesti pois päältä – varmista, että se on käytössä:

sysctl net.ipv4.tcp_migrate_req

Komennon pitäisi tulostaa 0.

Rajoita pääsyä palveluihisi

Sulje kaikki palomuurin portit, joiden ei tarvitse olla tavoitettavissa internetistä. Avaa mahdollisuuksien mukaan hallintapalvelut – SSH, ohjauspaneelit, tietokannat – vain luotettaville IP-osoitteille.

Vaihe 4. Korjatun ytimen asentamisen jälkeen

1. Käynnistä palvelin uudelleen ja varmista vaiheen 1 komennoilla, että korjattu ydin on käynnissä.
2. Voit poistaa väliaikaisen säännön:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Jos tarvitset MPTCP:tä, palauta asetus: poista /etc/sysctl.d/99-disable-mptcp.conf ja ajaa sysctl -w net.mptcp.enabled=1.

Jos jokin menee pieleen

Jos palvelimesi ei käynnisty ytimen päivityksen jälkeen, muodosta yhteys VNC-konsolin kautta ohjauspaneelista ja valitse edellinen ydin käynnistysvalikosta. Jos et ole varma, voitko tehdä tämän itse tai tarvitset apua päivityksen kanssa, ota yhteyttä tukitiimiimme.