Kritična ranjivost Linux kernela CVE-2026-98432: Kako provjeriti i ažurirati svoj VPS

U listopadu 2026. u Linux kernelu pronađena je kritična ranjivost, CVE-2026-98432 , ocijenjena s 9.8 od 10 na CVSS ljestvici. Utječe na način na koji se obrađuju dolazne IPv4 TCP veze i, pod određenim uvjetima, omogućuje napadaču da daljinski dobije root pristup poslužitelju - bez lozinke i bez potrebe za radnjom administratora.

U nastavku je navedeno tko je pogođen, kako provjeriti svoj poslužitelj i kako ga zaštititi. Sve naredbe se izvode kao root ili s sudo.

Ranjivost ukratko

• Što je to: greška u kodu koja postavlja IPv4 TCP veze uzrokovana uvjetom utrke. Napadač šalje posebno izrađene pakete na bilo koji otvoreni TCP port.
• Pogođene jezgre: svaka verzija od Linuxa 4.4, što znači praktički svaka trenutna distribucija.
• IPv6 nije pogođen glavnom greškom.
• Koliko je prijetnja stvarna: Istraživači tvrtke Anthropic demonstrirali su funkcionalan lanac iskorištavanja koji je omogućio root pristup na poslužitelju s omogućenim Multipath TCP-om (MPTCP) za otprilike 53 minute. Kod iskorištavanja nije objavljen.
• Napadi u divljini: Od 1. studenog 2026. nije prijavljena nikakva eksploatacija. To je razlog za mirno ažuriranje, a ne razlog za odgađanje.

Go usluge nose zaseban rizik. Od verzije Go 1.24, serverski programi na Linuxu osluškuju portove putem MPTCP-a prema zadanim postavkama kad god to kernel dopušta. Administrator možda čak ni ne zna da njihov server prihvaća takve veze. Među popularnim programima, Xray radi na ovaj način - njegovi programeri već su izdali hitnu verziju, v26.10.31, koja onemogućuje MPTCP prema zadanim postavkama.

Svaki VPS pokreće vlastitu jezgru, tako da morate sami ažurirati jezgru unutar svog poslužitelja. Mi sami ažuriramo virtualizacijske čvorove.

Postoji li rješenje za vaš sustav

Status od 1. studenog 2026. Ispravci stižu gotovo svakodnevno - provjerite poveznice na kraju ovog članka za trenutni status.

Korak 1. Provjerite koju jezgru koristite

Saznajte verziju pokrenute kernele:

uname -r

Sam broj verzije ne govori ništa: distribucije vraćaju ispravke u vlastite kernele bez promjene osnovne verzije. Pouzdanije je provjeriti popis promjena paketa kernela — ako spominje CVE broj, ispravak je već instaliran.

Debian i Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Na Debianu, uname -v Naredba također prikazuje punu verziju paketa pokrenute jezgre: usporedite je s gornjom tablicom.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Ako naredba ne ispisuje ništa, pokrenuta jezgra je ranjiva.

Zatim provjerite koje usluge prihvaćaju veze putem MPTCP-a. Poslužitelji poput ovih bili su meta u demonstriranom napadu:

ss -lnMp

Prazan izlaz znači da nema MPTCP slušača.

Korak 2. Instalirajte fiksnu jezgru

Prije ažuriranja kernela napravite sigurnosnu kopiju ili snimku stanja vašeg poslužitelja.

Debian 12 i 13

Ispravljene kernele nalaze se u sigurnosnom repozitoriju. Provjerite je li omogućeno:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Ako se ništa ne pronađe, dodajte security.debian.org repozitorij za vaše izdanje. Zatim ažurirajte sustav:

apt update
apt full-upgrade
reboot

Ubuntu

Ispravljene jezgre još nisu objavljene. Provjerite ažuriranja:

apt update
apt list --upgradable | grep linux-image

Ako je vaš poslužitelj spojen na Ubuntu Pro, možete provjeriti plan popravka:

pro fix CVE-2026-98432 --dry-run

Nakon što se ispravak objavi, instalirajte ga i ponovno pokrenite računalo:

apt update
apt full-upgrade
reboot

Do tada, obavezno primijenite privremenu zaštitu iz 3. koraka.

AlmaLinux 8, 9, 10

Fiksne kernele trenutno su dostupne samo u testnom repozitoriju. Instalirajte ih ako vam je ugodno to raditi na produkcijskom poslužitelju i svakako napravite snimku prije ažuriranja:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Nakon ponovnog pokretanja, usporedite uname -r s verzijama u gornjoj tablici. Ako ne želite instalirati testne pakete, primijenite privremenu zaštitu i pričekajte da popravak stigne do glavnog repozitorija.

Rocky Linux i drugi sustavi temeljeni na RHEL-u

Još nema rješenja. Možete ga pratiti pomoću:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Nakon što se ispravak objavi:

dnf update kernel
reboot

Nakon ažuriranja: potrebno je ponovno pokretanje

Nova jezgra stupa na snagu tek nakon ponovnog pokretanja. Da biste provjerili je li potrebna:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Nakon ponovnog pokretanja, ponovite provjeru od koraka 1.

Korak 3. Privremena zaštita dok ne bude dostupna ispravljena jezgra

Ove mjere smanjuju rizik, ali ne zamjenjuju ažuriranje kernela.

Blokiraj okidačke pakete

Napad koristi TCP pakete s IP opcijama u IPv4 zaglavlju. Oni se praktički nikada ne pojavljuju u normalnom prometu, a RFC 7126 već preporučuje njihovo odbacivanje. Pravilo nftables u nastavku odbaciva sve dolazne IPv4 TCP pakete s opcijama i ne utječe na IPv6, UDP ili ICMP. Radi uz ufw i firewalld.

Instalirajte nftables ako već nije instaliran:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Kreirajte datoteku s pravilima:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Da bi se pravilo vratilo nakon svakog ponovnog pokretanja, stvorite systemd uslugu:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Provjerite je li pravilo učitano:

nft list table ip cve_2026_98432

Ako ponovno pokrenete nftables uslugu s globalnim flush ruleset pravilo, trčanje systemctl restart cve-2026-98432 nakon toga.

Važno: nemojte primjenjivati ​​ovo pravilo na mreže koje koriste CIPSO oznake (SELinux ili Smack NetLabel) — tamo se IP opcije normalno koriste. Ako vaš poslužitelj usmjerava promet za druga računala, pravilo će također odbaciti njihove TCP pakete s IP opcijama.

Onemogućite MPTCP ako vam nije potreban

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ova postavka sprječava samo novi MPTCP utičnice se ne stvaraju. Usluge koje su već pokrenute nastavit će slušati putem MPTCP-a, stoga ponovno pokrenite svaku uslugu navedenu u ss -lnMp i provjerite je li njegov izlaz sada prazan.

Na AlmaLinuxu je MPTCP onemogućen prema zadanim postavkama, osim ako ga sami niste omogućili.

Onemogućite MPTCP u Go programima

Za servise izgrađene s Go 1.24 ili novijim, MPTCP možete onemogućiti varijablom okruženja. Na primjer, za servis pod nazivom myservice:

systemctl edit myservice

U datoteku koja se otvori dodajte sljedeće:

[Service]
Environment=GODEBUG=multipathtcp=0

Zatim ponovno pokrenite uslugu:

systemctl restart myservice

Ažuriranje rendgenskog snimka

Ako vaš poslužitelj koristi Xray, ažurirajte ga na v26.10.31 ili noviju verziju. Prethodnu verziju, v26.10.29, povukli su njezini programeri. Ovo ažuriranje onemogućuje MPTCP, ali ne popravlja kernel, pa je ažuriranje kernela i dalje potrebno.

Provjerite još jednu postavku

Drugi, uži put iskorištavanja zahtijeva omogućenu migraciju zahtjeva. Prema zadanim postavkama je isključena - provjerite je li:

sysctl net.ipv4.tcp_migrate_req

Naredba bi trebala ispisati 0.

Ograničite pristup svojim uslugama

Zatvorite svaki port vatrozida koji ne mora biti dostupan s interneta. Kad god je to moguće, otvorite administrativne usluge - SSH, kontrolne ploče, baze podataka - samo za pouzdane IP adrese.

Korak 4. Nakon instaliranja fiksne jezgre

1. Ponovno pokrenite poslužitelj i upotrijebite naredbe iz koraka 1 kako biste potvrdili da se ispravljena jezgra izvodi.
2. Privremeno pravilo možete ukloniti:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Ako vam je potreban MPTCP, vratite postavku: izbrišite /etc/sysctl.d/99-disable-mptcp.conf i pokrenuti sysctl -w net.mptcp.enabled=1.

Ako nešto krene po zlu

Ako se vaš poslužitelj ne pokrene nakon ažuriranja kernela, spojite se putem VNC konzole u upravljačkoj ploči i odaberite prethodni kernel u izborniku za pokretanje. Ako niste sigurni možete li to sami učiniti ili vam je potrebna pomoć s ažuriranjem, obratite se našem timu za podršku.