Vilnerabilite kritik nan Kernel Linux CVE-2026-98432: Kijan pou verifye epi mete ajou VPS ou a

Nan mwa Oktòb 2026, yo te jwenn yon vilnerabilite kritik, CVE-2026-98432 , nan kernel Linux la, li te resevwa yon nòt 9.8 sou 10 sou echèl CVSS la. Li afekte fason koneksyon IPv4 TCP k ap rantre yo jere epi, nan sèten kondisyon, li pèmèt yon atakè jwenn aksè root nan yon sèvè a distans — san modpas e san okenn aksyon ki nesesè nan men administratè a.

Anba la a se ki moun ki afekte, kijan pou tcheke sèvè ou a ak kijan pou pwoteje li. Tout kòmand yo egzekite kòm root oswa avèk sudo.

Vilnerabilite a an brèf

• Ki sa ki li se: yon pinèz "use-after-free" nan kòd ki konfigire koneksyon TCP IPv4 yo, ki koze pa yon kondisyon kous. Atakan an voye pake espesyalman kreye nan nenpòt pò TCP ouvè.
• Grenn ki afekte yo: chak vèsyon depi Linux 4.4, ki vle di pratikman tout distribisyon aktyèl la.
• IPv6 pa afekte pa pinèz prensipal la.
• Ki jan menas la reyèl: Chèchè Antwopik yo te demontre yon chèn eksplwatasyon ki fonksyone ki te pèmèt li jwenn aksè root sou yon sèvè ak Multipath TCP (MPTCP) aktive nan apeprè 53 minit. Kòd eksplwatasyon an poko pibliye.
• Atak nan bwa: Depi 1ye novanm 2026, yo pa rapòte okenn eksplwatasyon. Sa a se yon rezon pou mete ajou avèk kalm, pa yon rezon pou ranvwaye li.

Sèvis Go yo pote yon risk apa. Depi Go 1.24, pwogram sèvè sou Linux koute pò atravè MPTCP pa default chak fwa nwayo a pèmèt li. Yon administratè ka pa menm konnen sèvè yo aksepte koneksyon sa yo. Pami pwogram popilè yo, Xray fonksyone nan fason sa a — devlopè li yo deja pibliye yon vèsyon ijans, v26.10.31, ki dezaktive MPTCP pa default.

Chak VPS ap fonksyone ak pwòp kernel li, kidonk ou bezwen mete kernel la ajou anndan sèvè ou a tèt ou. Nou menm nou mete nœuds virtualizasyon yo ajou.

Èske gen yon solisyon pou sistèm ou an?

Sitiyasyon an apati 1ye novanm 2026. Koreksyon yo ap rive prèske chak jou — tcheke lyen yo nan fen atik sa a pou wè sitiyasyon aktyèl la.

Etap 1. Tcheke ki nwayo w ap itilize a

Chèche konnen vèsyon kernel k ap fonksyone a:

uname -r

Nimewo vèsyon an poukont li pa di ou anyen: distribisyon yo repòte koreksyon yo nan pwòp nwayo yo san yo pa chanje vèsyon debaz la. Li pi fyab pou tcheke changelog pake nwayo a — si li mansyone nimewo CVE a, koreksyon an deja enstale.

Debian ak Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Sou Debian, la uname -v Kòmand lan montre tou vèsyon konplè pake kernel k ap fonksyone a: konpare l ak tablo ki anwo a.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Si kòmand lan pa enprime anyen, kernel k ap fonksyone a vilnerab.

Apre sa, tcheke ki sèvis ki aksepte koneksyon atravè MPTCP. Sèvè tankou sa yo te sib nan atak ki te demontre a:

ss -lnMp

Yon rezilta vid vle di pa gen okenn moun ki ap koute MPTCP.

Etap 2. Enstale nwayo fiks la

Pran yon kopi backup oubyen yon snapshot sèvè w la anvan ou mete nwayo a ajou.

Debian 12 ak 13

Kernel fiks yo nan depo sekirite a. Asire w ke li aktive:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Si ou pa jwenn anyen, ajoute security.debian.org depo pou vèsyon ou an. Apre sa, mete sistèm nan ajou:

apt update
apt full-upgrade
reboot

Ubentu

Yo poko lage nwayo ki korije yo. Tcheke pou mizajou:

apt update
apt list --upgradable | grep linux-image

Si sèvè ou a konekte ak Ubuntu Pro, ou ka tcheke plan reparasyon an:

pro fix CVE-2026-98432 --dry-run

Yon fwa koreksyon an lage, enstale li epi rekòmanse:

apt update
apt full-upgrade
reboot

Jiskaske lè sa a, asire w ou aplike pwoteksyon tanporè ki nan Etap 3 a.

AlmaLinux 8, 9, 10

Kounye a, nwayo fiks yo disponib sèlman nan depo tès la. Enstale yo si ou santi w alèz pou fè sa sou yon sèvè pwodiksyon, epi asire w ou pran yon snapshot anvan ou mete ajou:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Apre ou fin rekòmanse, konpare uname -r ak vèsyon ki nan tablo ki anwo a. Si ou pa ta renmen enstale pakè tès yo, aplike pwoteksyon tanporè a epi tann pou koreksyon an rive nan depo prensipal la.

Rocky Linux ak lòt sistèm ki baze sou RHEL

Pa gen solisyon pou kounye a. Ou ka veye l avèk:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Yon fwa yo pibliye koreksyon an:

dnf update kernel
reboot

Apre mizajou a: ou bezwen rekòmanse

Nouvo nwayo a sèlman pran efè apre yon rekòmansman. Pou verifye si youn nesesè:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Apre ou fin redemare sistèm nan, repete verifikasyon an depi Etap 1.

Etap 3. Pwoteksyon tanporè jiskaske yon nwayo fiks disponib

Mezi sa yo diminye risk la men yo pa ranplase yon aktyalizasyon kernel la.

Bloke pakè deklanchè yo

Atak la itilize pakè TCP ak opsyon IP nan header IPv4 la. Yo pratikman pa janm parèt nan trafik nòmal, epi RFC 7126 deja rekòmande pou yo retire yo. Règ nftables ki anba a retire tout pakè TCP IPv4 k ap rantre ak opsyon epi li pa afekte IPv6, UDP oswa ICMP. Li travay ansanm ak ufw ak firewalld.

Enstale nftables si li poko enstale:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Kreye dosye règ la:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Pou retabli règ la apre chak rdemaraj, kreye yon sèvis systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Tcheke si règ la chaje:

nft list table ip cve_2026_98432

Si ou rekòmanse sèvis nftables la ak yon global flush ruleset gouvène, kouri systemctl restart cve-2026-98432 apre sa.

Enpòtan: pa aplike règ sa a sou rezo ki itilize etikèt CIPSO (SELinux oubyen Smack NetLabel) — opsyon IP yo itilize nòmalman la. Si sèvè w la dirije trafik pou lòt machin, règ la ap retire pakè TCP yo ak opsyon IP yo tou.

Enfim MPTCP si ou pa bezwen li

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Anviwònman sa a sèlman anpeche nouvo Sokèt MPTCP yo pa kreye. Sèvis ki deja ap fonksyone yo ap kontinye koute atravè MPTCP, kidonk rekòmanse chak sèvis ki nan lis la. ss -lnMp epi asire w ke pwodiksyon li a vid kounye a.

Sou AlmaLinux, MPTCP enfim pa default sof si ou te aktive li tèt ou.

Enfim MPTCP nan pwogram Go yo

Pou sèvis ki bati ak Go 1.24 oswa pi resan, ou ka enfim MPTCP ak yon varyab anviwònman. Pa egzanp, pou yon sèvis ki rele myservice:

systemctl edit myservice

Ajoute sa ki annapre yo nan dosye ki ouvri a:

[Service]
Environment=GODEBUG=multipathtcp=0

Apre sa, rekòmanse sèvis la:

systemctl restart myservice

Mizajou radyografi

Si sèvè w la ap itilize Xray, mete l ajou nan v26.10.31 oubyen yon vèsyon pi resan. Devlopè yo te retire vèsyon anvan an, v26.10.29. Mizajou sa a enfim MPTCP men li pa ranje nwayo a, kidonk yon mizajou nwayo a toujou nesesè.

Tcheke yon lòt paramèt

Yon dezyèm chemen eksplwatasyon ki pi etwat mande pou migrasyon demann lan aktive. Li dezaktive pa default — asire w de li:

sysctl net.ipv4.tcp_migrate_req

Kòmand lan ta dwe enprime 0.

Limite aksè a sèvis ou yo

Fèmen tout pò pare-feu ki pa bezwen aksesib sou entènèt la. Lè sa posib, ouvri sèvis administratif yo — SSH, panèl kontwòl, baz done — sèlman pou adrès IP ou fè konfyans.

Etap 4. Apre enstalasyon nwayo fiks la

1. Rekòmanse sèvè a epi sèvi ak kòmandman ki soti nan Etap 1 pou konfime ke nwayo fiks la ap fonksyone.
2. Ou ka retire règ tanporè a:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Si ou bezwen MPTCP, retabli paramèt la: efase /etc/sysctl.d/99-disable-mptcp.conf epi kouri sysctl -w net.mptcp.enabled=1.

Si yon bagay ale mal

Si sèvè ou a pa demarre apre aktyalizasyon nwayo a, konekte atravè konsole VNC a nan panèl kontwòl la epi chwazi nwayo anvan an nan meni demaraj la. Si ou pa sèten ou ka fè sa tèt ou, oswa ou bezwen èd ak aktyalizasyon an, kontakte ekip sipò nou an.