Leochaileacht ríthábhachtach Eithne Linux CVE-2026-98432: Conas do VPS a sheiceáil agus a nuashonrú

I mí Dheireadh Fómhair 2026, thángthas ar leochaileacht chriticiúil, CVE-2026-98432 , i gcroílár Linux, rátáilte 9.8 as 10 ar scála CVSS. Bíonn tionchar aici ar an gcaoi a láimhseálann sí naisc TCP IPv4 atá ag teacht isteach agus, faoi choinníollacha áirithe, tugann sí deis d’ionsaitheoir rochtain fréimhe a fháil ar fhreastalaí go cianda - gan aon phasfhocal agus gan aon ghníomh ag teastáil ón riarthóir.

Seo thíos cé atá thíos leis, conas do fhreastalaí a sheiceáil agus conas é a chosaint. Ritheann gach ordú mar fhréamh nó le sudo.

An leochaileacht go hachomair

• Cad é: fabht úsáid-tar-saoradh sa chód a chuireann naisc TCP IPv4 ar bun, de bharr riocht rása. Seolann an t-ionsaitheoir paicéid speisialta-cheardaithe chuig aon phort TCP oscailte.
• Crónacha atá buailte: gach leagan ó Linux 4.4, rud a chiallaíonn beagnach gach dáileadh reatha.
• IPv6 nach bhfuil tionchar ag an bpríomhfhabht air.
• Cé chomh fíor is atá an bhagairt: Léirigh taighdeoirí Anthropic slabhra ionsaithe oibre a fuair rochtain fréimhe ar fhreastalaí le Multipath TCP (MPTCP) cumasaithe i gceann thart ar 53 nóiméad. Níl an cód ionsaithe foilsithe fós.
• Ionsaithe sa fiántas: Ón 1 Samhain 2026, níor tuairiscíodh aon saothrú. Is cúis é sin le nuashonrú a dhéanamh go socair, ní cúis le cur siar air.

Tá riosca ar leith ag baint le seirbhísí Go. Ó Go 1.24 i leith, éisteann cláir freastalaí ar Linux le calafoirt trí MPTCP de réir réamhshocraithe aon uair a cheadaíonn an eithne é. B’fhéidir nach mbeadh a fhios ag riarthóir fiú go nglacann a bhfreastalaí le naisc den sórt sin. I measc na gclár coitianta, oibríonn Xray ar an mbealach seo - tá leagan éigeandála eisithe ag a fhorbróirí cheana féin, v26.10.31, a dhíchumasaíonn MPTCP de réir réamhshocraithe.

Ritheann gach VPS a eithne féin, mar sin ní mór duit an eithne laistigh de do fhreastalaí a nuashonrú tú féin. Déanaimid na nóid fhíorúlaithe a nuashonrú muid féin.

An bhfuil réiteach ann do do chóras

Stádas amhail an 1 Samhain, 2026. Tá socruithe á dtabhairt isteach beagnach gach lá — féach ar na naisc ag deireadh an ailt seo le haghaidh an stádais reatha.

Céim 1. Seiceáil cén eithne atá á rith agat

Faigh amach leagan an eithne atá ag rith:

uname -r

Ní insíonn an uimhir leagain aon rud duit: déanann dáiltí socruithe a aisiompar ina n-eithne féin gan an bunleagan a athrú. Is iontaofa an log athraithe ar phacáiste an eithne a sheiceáil — má luaitear an uimhir CVE ann, tá an socrú suiteáilte cheana féin.

Debian agus Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Ar Debian, an uname -v Taispeánann an t-ordú leagan iomlán an phacáiste den eithne atá ag rith freisin: déan comparáid idir é agus an tábla thuas.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Mura ndéanann an t-ordú aon rud a phriontáil, tá an eithne atá ag rith leochaileach.

Ansin, seiceáil cé na seirbhísí a ghlacann le naisc trí MPTCP. Ba iad freastalaithe mar seo sprioc an ionsaithe a léiríodh:

ss -lnMp

Ciallaíonn aschur folamh nach bhfuil aon éisteoirí MPTCP ann.

Céim 2. Suiteáil an eithne socraithe

Tóg cúltaca nó pictiúr de do fhreastalaí sula ndéantar an croí a nuashonrú.

Debian 12 agus 13

Tá na croíleacáin shocraithe sa stór slándála. Déan cinnte go bhfuil sé cumasaithe:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Mura bhfaightear aon rud, cuir leis an security.debian.org stórlann do do scaoileadh. Ansin, nuashonraigh an córas:

apt update
apt full-upgrade
reboot

ubuntu

Níl eithní socraithe eisithe fós. Seiceáil le haghaidh nuashonruithe:

apt update
apt list --upgradable | grep linux-image

Más rud é go bhfuil do fhreastalaí ceangailte le Ubuntu Pro, is féidir leat an plean deisiúcháin a sheiceáil:

pro fix CVE-2026-98432 --dry-run

Nuair a bheidh an socrú scaoilte, suiteáil é agus atosaigh:

apt update
apt full-upgrade
reboot

Go dtí sin, bí cinnte an chosaint shealadach ó Chéim 3 a chur i bhfeidhm.

AlmaLinux 8, 9, 10

Níl eithní socraithe ar fáil faoi láthair ach sa stór tástála. Suiteáil iad má tá tú compordach é sin a dhéanamh ar fhreastalaí léiriúcháin, agus déan cinnte pictiúr den téacs a thógáil sula ndéanann tú nuashonrú:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Tar éis atosú, déan comparáid uname -r leis na leaganacha sa tábla thuas. Mura mian leat pacáistí tástála a shuiteáil, cuir an chosaint shealadach i bhfeidhm agus fan go sroichfidh an socrú an príomhstór.

Rocky Linux agus córais eile atá bunaithe ar RHEL

Níl aon réiteach ann go fóill. Is féidir leat súil a choinneáil air le:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Nuair a bheidh an socrú scaoilte:

dnf update kernel
reboot

Tar éis nuashonraithe: tá atosú ag teastáil

Ní thagann an croí nua i bhfeidhm ach amháin tar éis atosaithe. Chun a sheiceáil an bhfuil ceann ag teastáil:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Tar éis atosú, déan an seiceáil ó Chéim 1 arís.

Céim 3. Cosaint shealadach go dtí go mbeidh croíleacán socraithe ar fáil

Laghdaíonn na bearta seo an riosca ach ní chuireann siad nuashonrú eithne in ionad an chórais.

Blocáil na paicéid spreagtha

Úsáideann an ionsaí paicéid TCP le roghanna IP sa cheanntásc IPv4. Is ar éigean a fheictear iad i ngnáththrácht, agus molann RFC 7126 cheana féin iad a ligean thar ceal. Ligeann an riail nftables thíos gach paicéad TCP IPv4 isteach le roghanna thar ceal agus ní dhéanann sé difear do IPv6, UDP ná ICMP. Oibríonn sé taobh le ufw agus firewalld.

Suiteáil nftables mura bhfuil sé suiteáilte cheana féin:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Cruthaigh an comhad rialacha:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Chun an riail a athchóiriú tar éis gach atosaithe, cruthaigh seirbhís systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Seiceáil go bhfuil an riail luchtaithe:

nft list table ip cve_2026_98432

Má atosóidh tú an tseirbhís nftables le domhanda flush ruleset riail, rith systemctl restart cve-2026-98432 ina dhiaidh sin.

Tábhachtach: ná cuir an riail seo i bhfeidhm ar líonraí a úsáideann lipéid CIPSO (SELinux nó Smack NetLabel) — úsáidtear roghanna IP ansin de ghnáth. Má threoraíonn do fhreastalaí trácht do mheaisíní eile, scaoilfidh an riail a bpacáistí TCP le roghanna IP freisin.

Díchumasaigh MPTCP mura bhfuil sé de dhíth ort

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ní chuireann an socrú seo cosc ​​ach ar nua soicéid MPTCP ó bheith á gcruthú. Leanfaidh seirbhísí atá ag rith cheana féin ag éisteacht trí MPTCP, mar sin atosóidh gach seirbhís atá liostaithe ag ss -lnMp agus déan cinnte go bhfuil a aschur folamh anois.

Ar AlmaLinux, tá MPTCP díchumasaithe de réir réamhshocraithe mura gcumasaigh tú féin é.

Díchumasaigh MPTCP i gcláir Go

I gcás seirbhísí atá tógtha le Go 1.24 nó níos déanaí, is féidir leat MPTCP a dhíchumasú le hathróg timpeallachta. Mar shampla, i gcás seirbhís ar a dtugtar myservice:

systemctl edit myservice

Cuir an méid seo a leanas leis an gcomhad a osclaítear:

[Service]
Environment=GODEBUG=multipathtcp=0

Ansin atosú an tseirbhís:

systemctl restart myservice

Nuashonraigh X-gha

Má ritheann do fhreastalaí Xray, nuashonraigh é go leagan 26.10.31 nó níos déanaí. Tá an leagan roimhe seo, v26.10.29, tarraingthe siar ag a fhorbróirí. Díchumasaíonn an nuashonrú seo MPTCP ach ní dheisíonn sé an croí, mar sin tá gá fós le nuashonrú croí.

Seiceáil socrú amháin eile

Éilíonn cosán saothraithe níos cúinge eile go gcuirfí imirce iarratais ar siúl. Tá sé múchta de réir réamhshocraithe — déan cinnte de:

sysctl net.ipv4.tcp_migrate_req

Ba chóir don ordú a phriontáil 0.

Srian a chur ar rochtain ar do sheirbhísí

Dún gach port balla dóiteáin nach gá a bheith inrochtana ón idirlíon. Más féidir, oscail seirbhísí riaracháin — SSH, painéil rialaithe, bunachair shonraí — do sheoltaí IP iontaofa amháin.

Céim 4. Tar éis an eithne socraithe a shuiteáil

1. Atosaigh an freastalaí agus bain úsáid as na horduithe ó Chéim 1 chun a dheimhniú go bhfuil an eithne socraithe ag rith.
2. Is féidir leat an riail shealadach a bhaint:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Más gá duit MPTCP, athchóirigh an socrú: scrios /etc/sysctl.d/99-disable-mptcp.conf agus a reáchtáil sysctl -w net.mptcp.enabled=1.

Má théann rud éigin mícheart

Mura dtosaíonn do fhreastalaí tar éis an nuashonraithe eithne, ceangail tríd an gconsól VNC sa phainéal rialaithe agus roghnaigh an eithne roimhe seo sa roghchlár tosaithe. Mura bhfuil tú cinnte an féidir leat é seo a dhéanamh leat féin, nó má theastaíonn cabhair uait leis an nuashonrú, déan teagmháil lenár bhfoireann tacaíochta.