Nkwarụ Linux Kernel Dị Mkpa CVE-2026-98432: Otu esi elele ma melite VPS gị

Na Ọktoba 2026, achọpụtara ihe dị oke njọ, CVE-2026-98432 , na kernel Linux, nke e nyere ọkwa 9.8 n'ime 10 na nha CVSS. Ọ na-emetụta otu esi ejikwa njikọ TCP IPv4 na-abata, n'okpuru ọnọdụ ụfọdụ, na-enye onye mwakpo ohere ịnweta mgbọrọgwụ na sava site na anya — na-enweghị paswọọdụ na enweghị ihe achọrọ n'aka onye nchịkwa.

N'okpuru ebe a bụ onye ihe metụtara, otu esi elele sava gị na otu esi echebe ya. A na-agba iwu niile dịka mgbọrọgwụ ma ọ bụ na-eji ya. sudo.

Enweghị ike na nkenke

• Gịnị ọ bụ: njehie ojiji mgbe enweghị ojiji na koodu nke na-ahazi njikọ IPv4 TCP, nke ọnọdụ agbụrụ kpatara. Onye mwakpo na-eziga ngwugwu emere nke ọma na ọdụ ụgbọ mmiri TCP ọ bụla mepere emepe.
• Mkpụrụ ndụ ndị emetụtara: ụdị ọ bụla kemgbe Linux 4.4, nke pụtara ihe fọrọ nke nta ka ọ bụrụ nkesa ọ bụla dị ugbu a.
• IPv6 nsogbu isi anaghị emetụta ya.
• Lee ka ihe iyi egwu ahụ si dị adị n'ezie: Ndị nchọpụta gbasara mmekọrịta mmadụ na ibe ya gosipụtara usoro ọrụ nke nwetara ohere mgbọrọgwụ na sava nwere Multipath TCP (MPTCP) enyere n'ime ihe dị ka nkeji iri ise na atọ. E bipụtabeghị koodu ọrụ ahụ.
• Mwakpo n'ime ọhịa: ruo na Nọvemba 1, 2026, akọpụtabeghị mmegbu ọ bụla. Nke ahụ bụ ihe mere e ji emelite ya n'udo, ọ bụghị ihe mere e ji egbu oge.

Ọrụ Go nwere ihe egwu dị iche. Kemgbe Go 1.24, mmemme sava na Linux na-ege ntị na ọdụ ụgbọ mmiri site na MPTCP na ndabara mgbe ọ bụla kernel kwere ka ọ dịrị. Onye nchịkwa nwere ike ọ gaghị ama na sava ha na-anabata njikọ ndị dị otú ahụ. N'ime mmemme ndị a ma ama, Xray na-arụ ọrụ n'ụzọ a - ndị mmepe ya ewepụtala ụdị mberede, v26.10.31, nke na-egbochi MPTCP site na ndabara.

VPS ọ bụla na-eji kernel nke ya, yabụ ịkwesịrị imelite kernel dị n'ime sava gị n'onwe gị. Anyị na-emelite virtualization nodes n'onwe anyị.

Enwere ihe ngwọta maka sistemụ gị

Ọnọdụ dịka nke ọnwa Nọvemba 1, 2026. Ndozi na-adaba ihe fọrọ nke nta ka ọ bụrụ kwa ụbọchị - lelee njikọ dị na njedebe nke akụkọ a maka ọnọdụ dị ugbu a.

Nzọụkwụ 1. Lelee kernel ị na-agba

Chọpụta ụdị kernel na-agba ọsọ:

uname -r

Naanị nọmba ụdị ahụ anaghị agwa gị ihe ọ bụla: ebe nchekwa azụ na-edozi kernel nke ha na-agbanweghị ụdị ntọala. Ọ ka mma ịlele kernel package changelog - ọ bụrụ na ọ kpọtụrụ nọmba CVE, ndozi ahụ arụnyerelarị.

Debian na Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Na Debian, ụlọ ọrụ ahụ uname -v iwu ahụ na-egosikwa ụdị ngwugwu zuru oke nke kernel na-agba ọsọ: tụnyere ya na tebụl dị n'elu.

AlmaLinux, Rocky Linux, RHEL, na Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Ọ bụrụ na iwu ahụ ebipụtaghị ihe ọ bụla, kernel na-agba ọsọ adịghị ike.

Na-esote, lelee ọrụ ndị na-anabata njikọ site na MPTCP. Sava dị ka ndị a bụ ihe ebumnuche na mwakpo egosiri:

ss -lnMp

Ihe efu pụtara na enweghị ndị na-ege ntị na MPTCP.

Nzọụkwụ nke 2. Wụnye kernel edoziri

Were nkwado ndabere ma ọ bụ foto nke sava gị tupu imelite kernel.

Debian 12 na 13

Kernel ndị a na-edozighị dị n'ebe nchekwa nchekwa. Hụ na agbanyere ya:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Ọ bụrụ na achọtaghị ihe ọ bụla, tinye ya security.debian.org ebe nchekwa maka mwepụta gị. Mgbe ahụ melite sistemụ ahụ:

apt update
apt full-upgrade
reboot

Ubuntu

A ka ewepụtabeghị kernel edoziri. Lelee maka mmelite:

apt update
apt list --upgradable | grep linux-image

Ọ bụrụ na sava gị ejikọta na Ubuntu Pro, ị nwere ike ịlele atụmatụ ndozi ahụ:

pro fix CVE-2026-98432 --dry-run

Ozugbo ewepụchara ndozi ahụ, wụnye ya ma malitegharịa:

apt update
apt full-upgrade
reboot

Ruo mgbe ahụ, jide n'aka na ị na-etinye nchedo nwa oge site na Nzọụkwụ nke 3.

AlmaLinux 8, 9, na 10

Kernel ndị edoziri dị ugbu a naanị na ebe nchekwa nnwale. Wụnye ha ma ọ bụrụ na ọ dị gị mma ime ya na sava mmepụta, ma hụ na ị sere foto tupu emelite ya:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Mgbe ịmalitegharịrị, tụnyere uname -r na ụdị dị na tebụl dị n'elu. Ọ bụrụ na ịchọghị itinye ngwugwu nnwale, tinye nchedo nwa oge wee chere ka ndozi ahụ ruo ebe nchekwa isi.

Rocky Linux na sistemụ ndị ọzọ dabere na RHEL

Enweghị ndozi ọ bụla. Ị nwere ike lelee ya site na:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Ozugbo ewepụtara ihe ndozi ahụ:

dnf update kernel
reboot

Mgbe emelitere: achọrọ ịmalitegharị ọzọ

Kernel ọhụrụ ahụ na-arụ ọrụ naanị mgbe emegharịrị ya. Iji lelee ma ọ dị mkpa:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Mgbe ịmalitegharịrị, megharịa nlele ahụ site na Nzọụkwụ 1.

Nzọụkwụ nke 3. Nchedo nwa oge ruo mgbe e nwere kernel edobere

Usoro ndị a na-ebelata ihe egwu mana ha anaghị edochi mmelite kernel.

Gbochie ngwugwu ihe mkpali ahụ

Mwakpo a na-eji ngwugwu TCP nwere nhọrọ IP na isi IPv4. Ha anaghị apụta n'okporo ụzọ nkịtị, RFC 7126 na-akwadokwa ịtụfu ha. Iwu nftables dị n'okpuru na-atụfu ngwugwu TCP IPv4 niile na-abata na nhọrọ ma anaghị emetụta IPv6, UDP ma ọ bụ ICMP. Ọ na-arụ ọrụ n'akụkụ ufw na firewalld.

Wụnye nftables ma ọ bụrụ na etinyerebeghị ya:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Mepụta faịlụ iwu:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Iji weghachite iwu ahụ mgbe ọ bụla ịmalitegharịrị, mepụta ọrụ sistemụ:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Lelee na iwu ahụ eburula:

nft list table ip cve_2026_98432

Ọ bụrụ na ịmalitegharịa ọrụ nftables na usoro zuru ụwa ọnụ flush ruleset chịa, gbaa ọsọ systemctl restart cve-2026-98432 emesia.

Ihe dị mkpa: etinyela iwu a na netwọk ndị na-eji akara CIPSO (SELinux ma ọ bụ Smack NetLabel) — A na-ejikarị nhọrọ IP eme ihe ebe ahụ. Ọ bụrụ na sava gị na-ebuga okporo ụzọ maka igwe ndị ọzọ, iwu ahụ ga-atụfukwa ngwugwu TCP ha nwere nhọrọ IP.

Gbanyụọ MPTCP ma ọ bụrụ na ịchọghị ya

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ntọala a na-egbochi naanị otu ihe ọhụrụ A gaghị emepụta oghere MPTCP. Ọrụ ndị na-arụ ọrụ ga-anọgide na-ege ntị site na MPTCP, yabụ malitegharịa ọrụ ọ bụla edepụtara site na ss -lnMp ma hụ na ihe ọ na-apụta efuola.

Na AlmaLinux, MPTCP anaghị arụ ọrụ na ndabara ma ọ bụrụ na ị gbanye ya n'onwe gị.

Gbanyụọ mmemme MPTCP na Go

Maka ọrụ ndị e wuru na Go 1.24 ma ọ bụ karịa, ị nwere ike gbanyụọ MPTCP site na iji mgbanwe gburugburu ebe obibi. Dịka ọmụmaatụ, maka ọrụ a na-akpọ myservice:

systemctl edit myservice

Tinye ihe ndị a na faịlụ ahụ mepere emepe:

[Service]
Environment=GODEBUG=multipathtcp=0

Mgbe ahụ malitegharịa ọrụ ahụ:

systemctl restart myservice

Melite Xray

Ọ bụrụ na sava gị na-agba Xray, melite ya ka ọ bụrụ v26.10.31 ma ọ bụ karịa. Ndị mmepe ya ewepụla ụdị nke gara aga, v26.10.29. Mmelite a na-egbochi MPTCP mana ọ naghị edozi kernel, yabụ a ka chọrọ mmelite kernel.

Lelee otu ntọala ọzọ

Ụzọ mmegbu nke abụọ, nke dị warara karị, chọrọ ka a rịọ maka mbugharị ka ọ rụọ ọrụ. Ọ gbanyụrụ na ndabara — hụ na ọ dị:

sysctl net.ipv4.tcp_migrate_req

Iwu ahụ kwesịrị ibipụta 0.

Machibido ohere ịnweta ọrụ gị

Mechie ọdụ ụgbọ mmiri firewall ọ bụla nke na-achọghị ka a na-enweta ya site na ịntanetị. Ebe o kwere mee, mepee ọrụ nchịkwa — SSH, panel njikwa, nchekwa data — naanị na adreesị IP a pụrụ ịtụkwasị obi.

Nzọụkwụ nke 4. Mgbe etinyere kernel edoziri

1. Malitegharịa sava ahụ ma jiri iwu ndị dị na Nzọụkwụ 1 iji gosi na kernel edoziri na-arụ ọrụ.
2. Ị nwere ike iwepụ iwu nwa oge:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Ọ bụrụ na ịchọrọ MPTCP, weghachite ntọala ahụ: hichapụ /etc/sysctl.d/99-disable-mptcp.conf ma gbaba sysctl -w net.mptcp.enabled=1.

Ọ bụrụ na ihe agahieghị

Ọ bụrụ na sava gị amaliteghị mgbe emelitere kernel ahụ, jikọọ site na njikwa VNC na panel njikwa wee họrọ kernel gara aga na menu buut. Ọ bụrụ na ị maghị na ị nwere ike ime nke a n'onwe gị, ma ọ bụ chọọ enyemaka na mmelite ahụ, kpọtụrụ ndị otu nkwado anyị.