Krityske kwetsberens yn 'e Linux-kernel CVE-2026-98432: Hoe kinne jo jo VPS kontrolearje en bywurkje

Yn oktober 2026 waard in krityske kwetsberens, CVE-2026-98432 , fûn yn 'e Linux-kernel, mei in wurdearring fan 9.8 fan de 10 op 'e CVSS-skaal. It beynfloedet hoe't ynkommende IPv4 TCP-ferbiningen wurde ôfhannele en lit in oanfaller ûnder bepaalde omstannichheden op ôfstân root-tagong krije ta in server - sûnder wachtwurd en sûnder aksje fan 'e behearder.

Hjirûnder stiet wa't der lêst fan hat, hoe't jo jo server kontrolearje kinne en hoe't jo it beskermje kinne. Alle kommando's wurde útfierd as root of mei sudo.

De kwetsberens yn it koart

• Wat it is: in gebrûk-nei-frij-meitsjen-bug yn 'e koade dy't IPv4 TCP-ferbiningen ynstelt, feroarsake troch in race-betingst. De oanfaller stjoert spesjaal makke pakketten nei elke iepen TCP-poarte.
• Betroffen kernels: elke ferzje sûnt Linux 4.4, wat praktysk elke hjoeddeiske distribúsje betsjut.
• IPv6 wurdt net beynfloede troch de haadbug.
• Hoe echt de bedriging is: Antropyske ûndersikers hawwe in wurkjende exploitketen demonstrearre dy't yn sawat 53 minuten root-tagong krige op in server mei Multipath TCP (MPTCP) ynskeakele. De exploitkoade is net publisearre.
• Oanfallen yn it wyld: Fan 1 novimber 2026 ôf is der gjin eksploitaasje rapportearre. Dat is in reden om kalm te aktualisearjen, gjin reden om it út te stellen.

Go-tsjinsten bringe in apart risiko mei. Sûnt Go 1.24 harkje serverprogramma's op Linux standert nei poarten fia MPTCP as de kernel it talit. In behearder wit miskien net iens dat har server sokke ferbiningen akseptearret. Under populêre programma's wurket Xray op dizze manier - de ûntwikkelders hawwe al in needferzje útbrocht, v26.10.31, dy't MPTCP standert útskeakelt.

Elke VPS brûkt syn eigen kernel, dus jo moatte de kernel yn jo server sels bywurkje. Wy bywurkje de firtualisaasjeknooppunten sels.

Is der in oplossing foar jo systeem

Status fan 1 novimber 2026. Der komme hast alle dagen reparaasjes binnen - kontrolearje de keppelings oan 'e ein fan dit artikel foar de aktuele status.

Stap 1. Kontrolearje hokker kernel jo brûke

Fyn de ferzje fan 'e rinnende kernel út:

uname -r

Allinnich it ferzjenûmer seit neat: distribúsjes backportearje reparaasjes nei har eigen kernels sûnder de basisferzje te feroarjen. It is betrouberder om it changelog fan it kernelpakket te kontrolearjen - as it it CVE-nûmer neamt, is de reparaasje al ynstalleare.

Debian en Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Op Debian, de uname -v it kommando lit ek de folsleine pakketferzje fan 'e rinnende kernel sjen: fergelykje it mei de tabel hjirboppe.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

As it kommando neat printet, is de rinnende kernel kwetsber.

Kontrolearje dêrnei hokker tsjinsten ferbiningen fia MPTCP akseptearje. Servers lykas dizze wiene it doelwyt yn 'e demonstrearre oanfal:

ss -lnMp

Lege útfier betsjut dat der gjin MPTCP-harkers binne.

Stap 2. Ynstallearje de fêste kernel

Meitsje in reservekopy of snapshot fan jo server foardat jo de kernel bywurkje.

Debian 12 en 13

De fêste kernels binne yn 'e feiligensrepository. Soargje derfoar dat it ynskeakele is:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

As der neat fûn wurdt, foegje dan de security.debian.org repository foar jo release. Update dan it systeem:

apt update
apt full-upgrade
reboot

ubuntu

Fêste kernels binne noch net frijjûn. Kontrolearje op updates:

apt update
apt list --upgradable | grep linux-image

As jo ​​server ferbûn is mei Ubuntu Pro, kinne jo it reparaasjeplan kontrolearje:

pro fix CVE-2026-98432 --dry-run

Sadree't de fix frijjûn is, ynstallearje it en start it opnij op:

apt update
apt full-upgrade
reboot

Oant dy tiid, soargje derfoar dat jo de tydlike beskerming fan stap 3 tapasse.

AlmaLinux 8, 9, 10

Fêste kernels binne op it stuit allinich beskikber yn 'e testrepository. Ynstallearje se as jo jo noflik fiele om dat te dwaan op in produksjeserver, en soargje derfoar dat jo in snapshot meitsje foardat jo bywurkje:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Nei it opnij opstarten, fergelykje uname -r mei de ferzjes yn 'e tabel hjirboppe. As jo ​​leaver gjin testpakketten ynstallearje wolle, tapasse dan de tydlike beskerming en wachtsje oant de reparaasje de haadrepository berikt.

Rocky Linux en oare RHEL-basearre systemen

Der is noch gjin oplossing. Jo kinne derop lette mei:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Sadree't de fix frijjûn is:

dnf update kernel
reboot

Nei it bywurkjen: in opnij starte is fereaske

De nije kernel wurdt pas fan krêft nei in opnij starte. Om te kontrolearjen oft der ien nedich is:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Nei it opnij opstarten, werhelje de kontrôle fan stap 1.

Stap 3. Tydlike beskerming oant in fêste kernel beskikber is

Dizze maatregels ferminderje it risiko, mar ferfange gjin kernel-update.

Blokkearje de triggerpakketten

De oanfal brûkt TCP-pakketten mei IP-opsjes yn 'e IPv4-header. Se ferskine praktysk noait yn normaal ferkear, en RFC 7126 advisearret al om se te ferwiderjen. De nftables-regel hjirûnder ferwiderje alle ynkommende IPv4 TCP-pakketten mei opsjes en hat gjin ynfloed op IPv6, UDP of ICMP. It wurket neist ufw en firewalld.

Ynstallearje nftables as it noch net ynstalleare is:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Meitsje it regelbestân oan:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Om de regel nei elke opnij starte te herstellen, meitsje in systemd-tsjinst:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Kontrolearje oft de regel laden is:

nft list table ip cve_2026_98432

As jo ​​de nftables-tsjinst opnij starte mei in globale flush ruleset regelje, rinne systemctl restart cve-2026-98432 neitiid.

Wichtich: tapasse dizze regel net op netwurken dy't CIPSO-labels brûke (SELinux of Smack NetLabel) - IP-opsjes wurde dêr normaal brûkt. As jo ​​server ferkear foar oare masines rûteart, sil de regel ek har TCP-pakketten mei IP-opsjes fuortsmite.

Skeakelje MPTCP út as jo it net nedich binne

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Dizze ynstelling foarkomt allinich nij MPTCP-sockets wurde net oanmakke. Tsjinsten dy't al rinne sille harkje fia MPTCP, dus start elke tsjinst opnij dy't neamd wurdt troch ss -lnMp en soargje derfoar dat de útfier no leech is.

Op AlmaLinux is MPTCP standert útskeakele, útsein as jo it sels ynskeakele hawwe.

MPTCP útskeakelje yn Go-programma's

Foar tsjinsten boud mei Go 1.24 of letter kinne jo MPTCP útskeakelje mei in omjouwingsfariabele. Bygelyks, foar in tsjinst mei de namme myservice:

systemctl edit myservice

Foegje it folgjende ta oan it bestân dat iepenet:

[Service]
Environment=GODEBUG=multipathtcp=0

Dan de tsjinst opnij starte:

systemctl restart myservice

Röntgenfoto bywurkje

As jo ​​server Xray brûkt, bywurkje it dan nei v26.10.31 of letter. De foarige ferzje, v26.10.29, is weromlutsen troch de ûntwikkelders. Dizze update skeakelt MPTCP út, mar reparearret de kernel net, dus in kernel-update is noch altyd fereaske.

Kontrolearje noch ien ynstelling

In twadde, smeller eksploitaasjepad fereasket dat oanfraachmigraasje ynskeakele is. Standert is it útskeakele - soargje derfoar dat jo dat dogge:

sysctl net.ipv4.tcp_migrate_req

It kommando moat printsje 0.

Beheine tagong ta jo tsjinsten

Slút elke firewallpoarte dy't net berikber hoecht te wêzen fan it ynternet. Iepenje wêr mooglik allinich bestjoerlike tsjinsten - SSH, kontrôlepanielen, databases - foar fertroude IP-adressen.

Stap 4. Nei it ynstallearjen fan de fêste kernel

1. Start de server opnij op en brûk de kommando's fan stap 1 om te befestigjen dat de fêste kernel rint.
2. Jo kinne de tydlike regel fuortsmite:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. As jo ​​MPTCP nedich binne, herstel dan de ynstelling: wiskje /etc/sysctl.d/99-disable-mptcp.conf en rinne sysctl -w net.mptcp.enabled=1.

As der wat mis giet

As jo ​​server net opstart nei de kernel-update, ferbine dan fia de VNC-konsole yn it kontrôlepaniel en selektearje de foarige kernel yn it opstartmenu. As jo ​​net wis binne dat jo dit sels dwaan kinne, of help nedich binne mei de update, nim dan kontakt op mei ús stipeteam.