So-leòntachd chudromach ann an kernel Linux CVE-2026-98432: Mar a nì thu sgrùdadh agus ùrachadh air do VPS

Anns an Dàmhair 2026, chaidh so-leòntachd chudromach, CVE-2026-98432 , a lorg ann an eithne Linux, le rangachadh de 9.8 a-mach à 10 air sgèile CVSS. Tha e a’ toirt buaidh air mar a thèid dèiligeadh ri ceanglaichean TCP IPv4 a tha a’ tighinn a-steach agus, fo chumhachan sònraichte, leigidh e le ionnsaighear ruigsinneachd fhreumh fhaighinn gu frithealaiche air astar - gun fhacal-faire agus gun fheum air gnìomh bhon rianaire.

Seo cò air a bheil buaidh, mar a nì thu sgrùdadh air an fhrithealaiche agad agus mar a dhìonas tu e. Thèid a h-uile àithne a ruith mar fhreumh no le sudo.

An so-leòntachd gu h-aithghearr

• Na tha e: biast cleachd-às-dèidh-saoradh anns a’ chòd a bhios a’ stèidheachadh cheanglaichean TCP IPv4, air adhbhrachadh le suidheachadh rèis. Bidh an t-ionnsaighear a’ cur pacaidean air an dèanamh gu sònraichte gu port TCP fosgailte sam bith.
• Crìochan air a bheil buaidh: a h-uile dreach bho Linux 4.4, a tha a’ ciallachadh cha mhòr a h-uile sgaoileadh làithreach.
• IPv6 chan eil buaidh aig a’ phrìomh mhearachd air.
• Dè cho fìor 's a tha an cunnart: Sheall luchd-rannsachaidh Anthropic slabhraidh exploit obrachail a fhuair ruigsinneachd freumhach air frithealaiche le Multipath TCP (MPTCP) air a chomasachadh ann an timcheall air 53 mionaidean. Cha deach an còd exploit fhoillseachadh fhathast.
• Ionnsaighean anns an fhàsach: bho 1 Samhain 2026, cha deach aithris air brath sam bith. Is e sin adhbhar airson ùrachadh gu socair, chan e adhbhar airson a chur dheth.

Tha cunnart air leth an lùib seirbheisean Go. Bho Go 1.24, bidh prògraman frithealaiche air Linux ag èisteachd ri puirt tro MPTCP gu bunaiteach nuair a leigeas an eithne leis. Is dòcha nach eil fios aig rianaire eadhon gu bheil an frithealaiche aca a’ gabhail ri ceanglaichean mar sin. Am measg phrògraman mòr-chòrdte, tha Xray ag obair san dòigh seo - tha an luchd-leasachaidh aige air dreach èiginn fhoillseachadh mu thràth, v26.10.31, a chuireas dheth MPTCP gu bunaiteach.

Bidh gach VPS a’ ruith a eithne fhèin, agus mar sin feumaidh tu an eithne ùrachadh taobh a-staigh an fhrithealaiche agad fhèin. Bidh sinn fhèin ag ùrachadh nan nòdan brìgheileachaidh.

A bheil fuasgladh ann airson an t-siostam agad

Inbhe mar a bha e air 1 Samhain, 2026. Tha càraidhean a’ tighinn a-steach cha mhòr a h-uile latha — thoir sùil air na ceanglaichean aig deireadh an artaigil seo airson an inbhe làithreach.

Ceum 1. Thoir sùil air dè an kernel a tha thu a’ ruith

Faigh a-mach dè an tionndadh den eithne a tha a’ ruith:

uname -r

Chan eil an àireamh tionndaidh leis fhèin ag innse dad dhut: bidh sgaoilidhean a’ toirt air ais rèiteachaidhean a-steach do na h-eithne aca fhèin gun an dreach bunaiteach atharrachadh. Tha e nas earbsaiche sùil a thoirt air clàr-atharrachaidhean pacaid an eithne - ma tha e ag ainmeachadh an àireamh CVE, tha an càradh air a stàladh mu thràth.

Debian agus Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Air Debian, an uname -v Tha an àithne cuideachd a’ sealltainn an dreach pacaid slàn den eithne a tha a’ ruith: dèan coimeas eadar e agus an clàr gu h-àrd.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Mura clò-bhuail an àithne dad sam bith, tha an eithne a tha a’ ruith so-leònte.

An ath rud, thoir sùil air dè na seirbheisean a tha a’ gabhail ri ceanglaichean tro MPTCP. B’ e frithealaichean mar seo an targaid san ionnsaigh a chaidh a dhearbhadh:

ss -lnMp

Tha toradh falamh a’ ciallachadh nach eil luchd-èisteachd MPTCP ann.

Ceum 2. Stàlaich an eithne stèidhichte

Gabh cùl-taic no dealbh-sgrìn den fhrithealaiche agad mus ùraich thu an eithne.

Debian 12 agus 13

Tha na h-eithneachaidhean stèidhichte anns an stòras tèarainteachd. Dèan cinnteach gu bheil e air a chomasachadh:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Mura lorgar dad, cuir ris security.debian.org stòr-tasgaidh airson do fhoillseachadh. An uairsin ùraich an siostam:

apt update
apt full-upgrade
reboot

Ubuntu

Cha deach na h-eithnealan càraichte fhoillseachadh fhathast. Thoir sùil airson ùrachaidhean:

apt update
apt list --upgradable | grep linux-image

Ma tha an frithealaiche agad ceangailte ri Ubuntu Pro, faodaidh tu sùil a thoirt air a’ phlana càraidh:

pro fix CVE-2026-98432 --dry-run

Cho luath ‘s a thèid an càradh fhoillseachadh, stàlaich e agus ath-thòisich e:

apt update
apt full-upgrade
reboot

Gus an uair sin, dèan cinnteach gun cuir thu an dìon sealach bho Cheum 3 an sàs.

AlmaLinux 8, 9, 10

Chan eil kernels stèidhichte rim faighinn an-dràsta ach anns an stòras deuchainn. Stàlaich iad ma tha thu comhfhurtail ga dhèanamh air frithealaiche riochdachaidh, agus dèan cinnteach gun toir thu dealbh-sgrìn mus ùraich thu:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Às dèidh ath-thòiseachadh, dèan coimeas uname -r leis na dreachan san chlàr gu h-àrd. Mura b’ fheàrr leat pacaidean deuchainn a stàladh, cuir an dìon sealach an sàs agus feith gus an ruig an càradh am prìomh stòr-dàta.

Rocky Linux agus siostaman eile stèidhichte air RHEL

Chan eil fuasgladh ann fhathast. Faodaidh tu sùil a chumail air a shon le:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Cho luath ‘s a thèid an càradh fhoillseachadh:

dnf update kernel
reboot

Às dèidh ùrachadh: feumar ath-thòiseachadh

Chan eil an kernel ùr a’ tighinn gu buil ach an dèidh ath-thòiseachadh. Gus faicinn a bheil feum air fear:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Às dèidh ath-thòiseachadh, dèan an sgrùdadh bho Cheum 1 a-rithist.

Ceum 3. Dìon sealach gus am bi eithne stèidhichte ri fhaighinn

Bidh na ceumannan seo a’ lughdachadh a’ chunnart ach chan eil iad a’ dol an àite ùrachadh eithne.

Cuir bacadh air na pacaidean brosnachaidh

Bidh an ionnsaigh a’ cleachdadh pacaidean TCP le roghainnean IP anns a’ cheann-sgrìobhaidh IPv4. Cha mhòr nach nochd iad a-riamh ann an trafaic àbhaisteach, agus tha RFC 7126 mu thràth a’ moladh an leigeil às. Bidh an riaghailt nftables gu h-ìosal a’ leigeil às a h-uile pacaid TCP IPv4 a tha a’ tighinn a-steach le roghainnean agus chan eil buaidh aice air IPv6, UDP no ICMP. Bidh e ag obair còmhla ri ufw agus firewalld.

Stàlaich nftables mura h-eil e air a stàladh mu thràth:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Cruthaich am faidhle riaghailt:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Gus an riaghailt ath-nuadhachadh às dèidh gach ath-thòiseachadh, cruthaich seirbheis systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Dèan cinnteach gu bheil an riaghailt air a luchdachadh:

nft list table ip cve_2026_98432

Ma thòisicheas tu seirbheis nftables a-rithist le cruinneil flush ruleset riaghailt, ruith systemctl restart cve-2026-98432 às deidh sin.

Cudromach: na cuir an riaghailt seo an sàs air lìonraidhean a bhios a’ cleachdadh bileagan CIPSO (SELinux no Smack NetLabel) — mar as trice bidh roghainnean IP gan cleachdadh an sin. Ma bhios an frithealaiche agad a’ stiùireadh trafaic airson innealan eile, leigidh an riaghailt às na pacaidean TCP aca le roghainnean IP cuideachd.

Cuir dheth MPTCP mura h-eil feum agad air

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Chan eil an suidheachadh seo ach a’ cur casg air ùr socaidean MPTCP bho bhith gan cruthachadh. Cumaidh seirbheisean a tha mu thràth a’ ruith ag èisteachd tro MPTCP, mar sin ath-thòisich gach seirbheis a tha air a liostadh le ss -lnMp agus dèan cinnteach gu bheil an toradh aige falamh a-nis.

Air AlmaLinux, tha MPTCP à comas gu bunaiteach mura do chuir thu fhèin an comas e.

Cuir dheth MPTCP ann am prògraman Go

Airson seirbheisean a chaidh a thogail le Go 1.24 no nas fhaide air adhart, faodaidh tu MPTCP a dhì-cheadachadh le caochladair àrainneachd. Mar eisimpleir, airson seirbheis ris an canar myservice:

systemctl edit myservice

Cuir na leanas ris an fhaidhle a dh’fhosglas:

[Service]
Environment=GODEBUG=multipathtcp=0

An uairsin ath-thòisich an t-seirbheis:

systemctl restart myservice

Ùraich X-ghath

Ma tha Xray a’ ruith air an fhrithealaiche agad, ùraich e gu v26.10.31 no nas fhaide air adhart. Chaidh an dreach roimhe, v26.10.29, a tharraing air ais leis na luchd-leasachaidh aige. Bidh an ùrachadh seo a’ cur dheth MPTCP ach chan eil e a’ càradh an eithne, agus mar sin tha feum fhathast air ùrachadh eithne.

Thoir sùil air aon suidheachadh eile

Feumaidh slighe eile, nas cumhainge airson brath a ghabhail, gum bi iarrtasan imrich air an comasachadh. Tha e dheth gu bunaiteach — dèan cinnteach dheth:

sysctl net.ipv4.tcp_migrate_req

Bu chòir don àithne clò-bhualadh 0.

Cuir casg air ruigsinneachd air na seirbheisean agad

Dùin gach port balla-teine ​​nach fheum a bhith ruigsinneach bhon eadar-lìon. Far a bheil sin comasach, fosgail seirbheisean rianachd — SSH, pannalan smachd, stòran-dàta — a-mhàin gu seòlaidhean IP earbsach.

Ceum 4. Às dèidh dhut an eithne stèidhichte a stàladh

1. Ath-thòisich am frithealaiche agus cleachd na h-òrdughan bho Cheum 1 gus dearbhadh gu bheil an eithne stèidhichte a’ ruith.
2. Faodaidh tu an riaghailt sealach a thoirt air falbh:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Ma tha feum agad air MPTCP, ath-stèidhich an suidheachadh: cuir às /etc/sysctl.d/99-disable-mptcp.conf agus ruith sysctl -w net.mptcp.enabled=1.

Ma thèid rudeigin ceàrr

Mura tòisich an frithealaiche agad às dèidh ùrachadh an eithne, ceangail tron ​​chonsól VNC anns a’ phannal smachd agus tagh an eithne roimhe anns a’ chlàr-taice tòiseachaidh. Mura h-eil thu cinnteach an urrainn dhut seo a dhèanamh thu fhèin, no ma tha feum agad air cuideachadh leis an ùrachadh, cuir fios chun sgioba taic againn.