ક્રિટિકલ લિનક્સ કર્નલ વલ્નરેબિલિટી CVE-2026-98432: તમારા VPS ને કેવી રીતે તપાસવું અને અપડેટ કરવું

ઓક્ટોબર 2026 માં, Linux કર્નલમાં એક મહત્વપૂર્ણ નબળાઈ, CVE-2026-98432 , મળી આવી હતી, જેને CVSS સ્કેલ પર 10 માંથી 9.8 રેટિંગ આપવામાં આવ્યું હતું. તે આવનારા IPv4 TCP કનેક્શન્સને કેવી રીતે હેન્ડલ કરવામાં આવે છે તેના પર અસર કરે છે અને, ચોક્કસ પરિસ્થિતિઓમાં, હુમલાખોરને સર્વર પર દૂરસ્થ રૂટ એક્સેસ મેળવવાની મંજૂરી આપે છે - કોઈ પાસવર્ડ વિના અને એડમિનિસ્ટ્રેટર તરફથી કોઈ કાર્યવાહીની જરૂર નથી.

નીચે કોણ પ્રભાવિત થયું છે, તમારા સર્વરને કેવી રીતે તપાસવું અને તેને કેવી રીતે સુરક્ષિત કરવું તે છે. બધા આદેશો રૂટ તરીકે અથવા સાથે ચલાવવામાં આવે છે sudo.

સંક્ષિપ્તમાં નબળાઈ

• તે શુ છે: કોડમાં એક ઉપયોગ-આફ્ટર-ફ્રી બગ જે IPv4 TCP કનેક્શન સેટ કરે છે, જે રેસ કન્ડિશનને કારણે થાય છે. હુમલાખોર કોઈપણ ખુલ્લા TCP પોર્ટ પર ખાસ બનાવેલા પેકેટ મોકલે છે.
• અસરગ્રસ્ત કર્નલો: Linux 4.4 થી દરેક સંસ્કરણ, જેનો અર્થ વ્યવહારીક રીતે દરેક વર્તમાન વિતરણ થાય છે.
• IPv6 મુખ્ય બગથી પ્રભાવિત નથી.
• ખતરો કેટલો વાસ્તવિક છે: એન્થ્રોપિક સંશોધકોએ એક કાર્યરત એક્સપ્લોઈટ ચેઈનનું પ્રદર્શન કર્યું જેણે લગભગ 53 મિનિટમાં મલ્ટીપાથ TCP (MPTCP) સક્ષમ સર્વર પર રૂટ એક્સેસ મેળવી. એક્સપ્લોઈટ કોડ પ્રકાશિત થયો નથી.
• જંગલીમાં હુમલા: ૧ નવેમ્બર, ૨૦૨૬ સુધીમાં, કોઈ શોષણની જાણ થઈ નથી. તે શાંતિથી અપડેટ કરવાનું કારણ છે, મુલતવી રાખવાનું કારણ નથી.

ગો સેવાઓ એક અલગ જોખમ ધરાવે છે. ગો 1.24 થી, Linux પર સર્વર પ્રોગ્રામ્સ જ્યારે પણ કર્નલ તેને મંજૂરી આપે છે ત્યારે ડિફોલ્ટ રૂપે MPTCP દ્વારા પોર્ટ્સ પર સાંભળે છે. એડમિનિસ્ટ્રેટર કદાચ જાણતા પણ નથી કે તેમનો સર્વર આવા કનેક્શન્સ સ્વીકારે છે. લોકપ્રિય પ્રોગ્રામ્સમાં, Xray આ રીતે કાર્ય કરે છે - તેના વિકાસકર્તાઓએ પહેલાથી જ એક કટોકટી સંસ્કરણ, v26.10.31 રજૂ કર્યું છે, જે ડિફોલ્ટ રૂપે MPTCP ને અક્ષમ કરે છે.

દરેક VPS પોતાનું કર્નલ ચલાવે છે, તેથી તમારે તમારા સર્વરની અંદર કર્નલને જાતે અપડેટ કરવાની જરૂર છે. અમે વર્ચ્યુઅલાઈઝેશન નોડ્સ જાતે અપડેટ કરીએ છીએ.

શું તમારી સિસ્ટમ માટે કોઈ સુધારો છે?

૧ નવેમ્બર, ૨૦૨૬ સુધીની સ્થિતિ. સુધારાઓ લગભગ દરરોજ આવી રહ્યા છે — વર્તમાન સ્થિતિ માટે આ લેખના અંતે આપેલી લિંક્સ તપાસો.

પગલું 1. તમે કયું કર્નલ ચલાવી રહ્યા છો તે તપાસો.

ચાલી રહેલ કર્નલનું વર્ઝન શોધો:

uname -r

ફક્ત વર્ઝન નંબર જ તમને કંઈ કહેતો નથી: ડિસ્ટ્રિબ્યુશન બેકપોર્ટ બેઝ વર્ઝન બદલ્યા વિના તેમના પોતાના કર્નલોમાં ફિક્સ કરે છે. કર્નલ પેકેજ ચેન્જલોગ તપાસવું વધુ વિશ્વસનીય છે - જો તે CVE નંબરનો ઉલ્લેખ કરે છે, તો ફિક્સ પહેલાથી જ ઇન્સ્ટોલ કરેલું છે.

ડેબિયન અને ઉબુન્ટુ:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

ડેબિયન પર, uname -v આદેશ ચાલી રહેલ કર્નલનું સંપૂર્ણ પેકેજ સંસ્કરણ પણ બતાવે છે: ઉપરના કોષ્ટક સાથે તેની તુલના કરો.

અલ્માલિનક્સ, રોકી લિનક્સ, આરએચઈએલ, ઓરેકલ લિનક્સ:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

જો આદેશ કંઈ છાપતો નથી, તો ચાલી રહેલ કર્નલ સંવેદનશીલ છે.

આગળ, MPTCP દ્વારા કઈ સેવાઓ કનેક્શન સ્વીકારે છે તે તપાસો. પ્રદર્શિત હુમલામાં આવા સર્વર્સ લક્ષ્ય હતા:

ss -lnMp

ખાલી આઉટપુટનો અર્થ એ છે કે કોઈ MPTCP શ્રોતાઓ નથી.

પગલું 2. નિશ્ચિત કર્નલ ઇન્સ્ટોલ કરો

કર્નલ અપડેટ કરતા પહેલા તમારા સર્વરનો બેકઅપ અથવા સ્નેપશોટ લો.

ડેબિયન ૧૨ અને ૧૩

નિશ્ચિત કર્નલો સુરક્ષા ભંડારમાં છે. ખાતરી કરો કે તે સક્ષમ છે:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

જો કંઈ ન મળે, તો ઉમેરો security.debian.org તમારા પ્રકાશન માટે રીપોઝીટરી. પછી સિસ્ટમ અપડેટ કરો:

apt update
apt full-upgrade
reboot

ઉબુન્ટુ

ફિક્સ્ડ કર્નલ હજુ સુધી રિલીઝ થયા નથી. અપડેટ્સ માટે તપાસો:

apt update
apt list --upgradable | grep linux-image

જો તમારું સર્વર ઉબુન્ટુ પ્રો સાથે જોડાયેલું હોય, તો તમે ફિક્સ પ્લાન ચકાસી શકો છો:

pro fix CVE-2026-98432 --dry-run

એકવાર ફિક્સ રીલીઝ થઈ જાય, પછી તેને ઇન્સ્ટોલ કરો અને રીબૂટ કરો:

apt update
apt full-upgrade
reboot

ત્યાં સુધી, પગલું 3 માંથી કામચલાઉ સુરક્ષા લાગુ કરવાનું ભૂલશો નહીં.

અલ્માલિનક્સ 8, 9, 10

ફિક્સ્ડ કર્નલો હાલમાં ફક્ત ટેસ્ટિંગ રિપોઝીટરીમાં જ ઉપલબ્ધ છે. જો તમને પ્રોડક્શન સર્વર પર આવું કરવામાં આરામદાયક લાગે તો તેમને ઇન્સ્ટોલ કરો, અને અપડેટ કરતા પહેલા સ્નેપશોટ લેવાની ખાતરી કરો:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

રીબૂટ કર્યા પછી, સરખામણી કરો uname -r ઉપરના કોષ્ટકમાં આપેલા સંસ્કરણો સાથે. જો તમે પરીક્ષણ પેકેજો ઇન્સ્ટોલ કરવા માંગતા નથી, તો કામચલાઉ સુરક્ષા લાગુ કરો અને મુખ્ય ભંડાર સુધી ફિક્સ પહોંચે ત્યાં સુધી રાહ જુઓ.

રોકી લિનક્સ અને અન્ય RHEL-આધારિત સિસ્ટમો

હજુ સુધી કોઈ સુધારો થયો નથી. તમે આના દ્વારા તેની રાહ જોઈ શકો છો:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

એકવાર ફિક્સ રિલીઝ થઈ જાય:

dnf update kernel
reboot

અપડેટ કર્યા પછી: રીબૂટ જરૂરી છે

નવું કર્નલ ફક્ત રીબુટ થયા પછી જ પ્રભાવમાં આવે છે. જરૂરી છે કે નહીં તે ચકાસવા માટે:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

રીબૂટ કર્યા પછી, પગલું 1 માંથી ચેકનું પુનરાવર્તન કરો.

પગલું 3. નિશ્ચિત કર્નલ ઉપલબ્ધ ન થાય ત્યાં સુધી કામચલાઉ સુરક્ષા

આ પગલાં જોખમ ઘટાડે છે પરંતુ કર્નલ અપડેટને બદલતા નથી.

ટ્રિગર પેકેટ્સને બ્લોક કરો

આ હુમલામાં IPv4 હેડરમાં IP વિકલ્પોવાળા TCP પેકેટનો ઉપયોગ થાય છે. તે વ્યવહારીક રીતે ક્યારેય સામાન્ય ટ્રાફિકમાં દેખાતા નથી, અને RFC 7126 પહેલાથી જ તેમને છોડી દેવાની ભલામણ કરે છે. નીચે આપેલ nftables નિયમ બધા આવનારા IPv4 TCP પેકેટોને વિકલ્પો સાથે છોડી દે છે અને IPv6, UDP અથવા ICMP ને અસર કરતું નથી. તે ufw અને firewalld ની સાથે કામ કરે છે.

જો nftables પહેલાથી ઇન્સ્ટોલ કરેલું ન હોય તો તેને ઇન્સ્ટોલ કરો:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

નિયમ ફાઇલ બનાવો:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

દરેક રીબૂટ પછી નિયમ પુનઃસ્થાપિત કરવા માટે, systemd સેવા બનાવો:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

નિયમ લોડ થયેલ છે કે નહીં તે તપાસો:

nft list table ip cve_2026_98432

જો તમે ગ્લોબલ સાથે nftables સેવા ફરી શરૂ કરો છો flush ruleset નિયમ, દોડ systemctl restart cve-2026-98432 પછીથી

મહત્વપૂર્ણ: CIPSO લેબલ્સ (SELinux અથવા Smack NetLabel) નો ઉપયોગ કરતા નેટવર્ક્સ પર આ નિયમ લાગુ કરશો નહીં — ત્યાં સામાન્ય રીતે IP વિકલ્પોનો ઉપયોગ થાય છે. જો તમારું સર્વર અન્ય મશીનો માટે ટ્રાફિકને રૂટ કરે છે, તો નિયમ IP વિકલ્પો સાથે તેમના TCP પેકેટોને પણ છોડી દેશે.

જો તમને જરૂર ન હોય તો MPTCP ને અક્ષમ કરો.

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

આ સેટિંગ ફક્ત અટકાવે છે નવા MPTCP સોકેટ્સ બનાવવામાં આવતા નથી. જે ​​સેવાઓ પહેલાથી જ ચાલી રહી છે તે MPTCP દ્વારા સાંભળતી રહેશે, તેથી સૂચિબદ્ધ દરેક સેવાને ફરીથી શરૂ કરો ss -lnMp અને ખાતરી કરો કે તેનું આઉટપુટ હવે ખાલી છે.

AlmaLinux પર, MPTCP ડિફોલ્ટ રૂપે અક્ષમ હોય છે સિવાય કે તમે તેને જાતે સક્ષમ કર્યું હોય.

ગો પ્રોગ્રામ્સમાં MPTCP ને અક્ષમ કરો

Go 1.24 અથવા પછીના વર્ઝન સાથે બનેલી સેવાઓ માટે, તમે પર્યાવરણ ચલ સાથે MPTCP ને અક્ષમ કરી શકો છો. ઉદાહરણ તરીકે, નામની સેવા માટે myservice:

systemctl edit myservice

ખુલતી ફાઇલમાં નીચે મુજબ ઉમેરો:

[Service]
Environment=GODEBUG=multipathtcp=0

પછી સેવા ફરીથી શરૂ કરો:

systemctl restart myservice

એક્સ-રે અપડેટ કરો

જો તમારું સર્વર Xray ચલાવતું હોય, તો તેને v26.10.31 અથવા પછીના વર્ઝન પર અપડેટ કરો. પાછલું વર્ઝન, v26.10.29, તેના ડેવલપર્સ દ્વારા પાછું ખેંચી લેવામાં આવ્યું છે. આ અપડેટ MPTCP ને અક્ષમ કરે છે પરંતુ કર્નલને ઠીક કરતું નથી, તેથી કર્નલ અપડેટ હજુ પણ જરૂરી છે.

એક વધુ સેટિંગ તપાસો

બીજા, સાંકડા શોષણ માર્ગ માટે વિનંતી સ્થળાંતર સક્ષમ કરવું જરૂરી છે. તે ડિફૉલ્ટ રૂપે બંધ છે - ખાતરી કરો કે:

sysctl net.ipv4.tcp_migrate_req

આદેશ છાપવો જોઈએ 0.

તમારી સેવાઓનો ઍક્સેસ પ્રતિબંધિત કરો

ઇન્ટરનેટથી પહોંચી શકાય તેવા ન હોય તેવા દરેક ફાયરવોલ પોર્ટને બંધ કરો. શક્ય હોય ત્યાં, વહીવટી સેવાઓ - SSH, કંટ્રોલ પેનલ્સ, ડેટાબેઝ - ફક્ત વિશ્વસનીય IP સરનામાંઓ પર ખોલો.

પગલું 4. નિશ્ચિત કર્નલ ઇન્સ્ટોલ કર્યા પછી

1. સર્વર રીબુટ કરો અને સ્ટેપ 1 માંથી આદેશોનો ઉપયોગ કરીને ખાતરી કરો કે ફિક્સ્ડ કર્નલ ચાલી રહ્યું છે.
2. તમે કામચલાઉ નિયમ દૂર કરી શકો છો:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. જો તમને MPTCP ની જરૂર હોય, તો સેટિંગ પુનઃસ્થાપિત કરો: કાઢી નાખો /etc/sysctl.d/99-disable-mptcp.conf અને ચલાવો sysctl -w net.mptcp.enabled=1.

જો કંઈક ખોટું થાય

જો કર્નલ અપડેટ પછી તમારું સર્વર બુટ ન થાય, તો કંટ્રોલ પેનલમાં VNC કન્સોલ દ્વારા કનેક્ટ કરો અને બુટ મેનૂમાં પાછલું કર્નલ પસંદ કરો. જો તમને ખાતરી ન હોય કે તમે આ જાતે કરી શકો છો, અથવા અપડેટમાં મદદની જરૂર હોય, તો અમારી સપોર્ટ ટીમનો સંપર્ક કરો.