Alvarleg veikleiki í Linux kjarna CVE-2026-98432: Hvernig á að athuga og uppfæra VPS þinn

Í október 2026 fannst alvarlegur veikleiki, CVE-2026-98432 , í Linux kjarnanum, með 9.8 af 10 á CVSS kvarðanum. Hann hefur áhrif á hvernig innkomandi IPv4 TCP tengingar eru meðhöndlaðar og gerir árásarmanni kleift, við vissar aðstæður, að fá rótaraðgang að netþjóni frá fjarlægð — án lykilorðs og án þess að þurfa að gera neitt af hálfu kerfisstjóra.

Hér að neðan er hverjir eru fyrir áhrifum, hvernig á að athuga netþjóninn þinn og hvernig á að vernda hann. Allar skipanir eru keyrðar sem rótarþjónn eða með sudo.

Varnarleysið í stuttu máli

• Hvað það er: „use-after-free“ villa í kóðanum sem setur upp IPv4 TCP tengingar, af völdum kapphlaupsástands. Árásaraðilinn sendir sérsmíðaða pakka á hvaða opna TCP tengi sem er.
• Kjarnar sem verða fyrir áhrifum: allar útgáfur síðan Linux 4.4, sem þýðir nánast allar núverandi dreifingar.
• IPv6 hefur ekki áhrif á aðalvilluna.
• Hversu raunveruleg ógnin er: Rannsakendur hjá Anthropic sýndu fram á virka keðju árása sem fékk rótaraðgang á netþjóni með Multipath TCP (MPTCP) virkt á um 53 mínútum. Kóðinn fyrir árásina hefur ekki verið birtur.
• Árásir í náttúrunni: Frá og með 1. nóvember 2026 hefur engin misnotkun verið tilkynnt. Það er ástæða til að uppfæra rólega, ekki ástæða til að fresta því.

Go þjónustur bera sérstaka áhættu með sér. Frá og með Go 1.24 hlusta netþjónsforrit á Linux sjálfkrafa á tengi í gegnum MPTCP þegar kjarninn leyfir það. Stjórnandi gæti ekki einu sinni vitað að netþjónninn þeirra samþykkir slíkar tengingar. Meðal vinsælla forrita virkar Xray á þennan hátt — forritarar þess hafa þegar gefið út neyðarútgáfu, v26.10.31, sem slekkur á MPTCP sjálfkrafa.

Hver VPS keyrir sinn eigin kjarna, þannig að þú þarft að uppfæra kjarnann inni í netþjóninum þínum sjálfur. Við uppfærum sýndarvæðingarhnútana sjálf.

Er til lausn fyrir kerfið þitt

Staða frá og með 1. nóvember 2026. Lagfæringar berast næstum daglega — skoðið tenglana í lok þessarar greinar til að sjá núverandi stöðu.

Skref 1. Athugaðu hvaða kjarna þú ert að keyra

Finndu út útgáfu kjarnans sem er í gangi:

uname -r

Útgáfunúmerið eitt og sér segir ekkert: dreifingar flytja lagfæringar aftur inn í sína eigin kjarna án þess að breyta grunnútgáfunni. Það er áreiðanlegra að athuga breytingaskrá kjarnapakkans — ef þar kemur fram CVE-númerið, þá er lagfæringin þegar uppsett.

Debian og Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Á Debian, uname -v Skipunin sýnir einnig alla pakkaútgáfuna af keyrandi kjarnanum: berðu hana saman við töfluna hér að ofan.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Ef skipunin prentar ekkert, þá er kjarninn sem keyrir viðkvæmur.

Næst skaltu athuga hvaða þjónustur samþykkja tengingar í gegnum MPTCP. Þjónar eins og þessir voru skotmörk árásarinnar sem sýnd var fram á:

ss -lnMp

Tóm úttak þýðir að engir MPTCP hlustendur eru til staðar.

Skref 2. Setjið upp fasta kjarnann

Taktu afrit eða skyndimynd af netþjóninum þínum áður en þú uppfærir kjarnann.

Debian 12 og 13

Lagfærðu kjarnar eru í öryggisgeymslunni. Gakktu úr skugga um að það sé virkt:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Ef ekkert finnst, bætið þá við security.debian.org Geymsla fyrir útgáfuna þína. Uppfærðu síðan kerfið:

apt update
apt full-upgrade
reboot

ubuntu

Lagfærðar kjarnauppfærslur hafa ekki verið gefnar út ennþá. Athugaðu hvort uppfærslur séu til staðar:

apt update
apt list --upgradable | grep linux-image

Ef netþjónninn þinn er tengdur við Ubuntu Pro geturðu athugað viðgerðaráætlunina:

pro fix CVE-2026-98432 --dry-run

Þegar lagfæringin er gefin út skaltu setja hana upp og endurræsa:

apt update
apt full-upgrade
reboot

Þangað til skaltu gæta þess að nota tímabundna verndina úr skrefi 3.

AlmaLinux 8, 9, 10

Fastir kjarnar eru aðeins fáanlegir í prófunargeymslunni eins og er. Settu þá upp ef þú ert ófeiminn við að gera það á framleiðsluþjóni og vertu viss um að taka skyndimynd áður en þú uppfærir:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Eftir endurræsingu, berðu saman uname -r með útgáfunum í töflunni hér að ofan. Ef þú vilt frekar ekki setja upp prófunarpakka skaltu virkja tímabundna verndina og bíða eftir að lagfæringin berist í aðalgeymsluna.

Rocky Linux og önnur RHEL-byggð kerfi

Það er engin lausn til ennþá. Þú getur fylgst með því með:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Þegar lagfæringin er gefin út:

dnf update kernel
reboot

Eftir uppfærslu: endurræsing er nauðsynleg

Nýi kjarninn tekur aðeins gildi eftir endurræsingu. Til að athuga hvort þörf sé á slíkum:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Eftir endurræsingu skaltu endurtaka athugunina frá skrefi 1.

Skref 3. Tímabundin vernd þar til fastur kjarni er tiltækur

Þessar ráðstafanir draga úr áhættunni en koma ekki í stað kjarnauppfærslu.

Lokaðu kveikjupakka

Árásin notar TCP-pakka með IP-valkostum í IPv4-hausnum. Þeir birtast nánast aldrei í venjulegri umferð og RFC 7126 mælir nú þegar með að þeir séu slepptir. Reglan nftables hér að neðan sleppir öllum innkomandi IPv4 TCP-pökkum með valkostum og hefur ekki áhrif á IPv6, UDP eða ICMP. Hún virkar samhliða ufw og firewalld.

Settu upp nftables ef það er ekki þegar uppsett:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Búðu til regluskrána:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Til að endurheimta regluna eftir hverja endurræsingu skaltu búa til systemd þjónustu:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Athugaðu hvort reglan sé hlaðin inn:

nft list table ip cve_2026_98432

Ef þú endurræsir nftables þjónustuna með alþjóðlegu flush ruleset regla, keyra systemctl restart cve-2026-98432 á eftir.

Mikilvægt: Ekki nota þessa reglu á netum sem nota CIPSO merki (SELinux eða Smack NetLabel) — IP valkostirnir eru venjulega notaðir þar. Ef netþjónninn þinn sendir umferð fyrir aðrar vélar, mun reglan einnig sleppa TCP pakkanum þeirra með IP valkostunum.

Slökktu á MPTCP ef þú þarft ekki á því að halda

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Þessi stilling kemur aðeins í veg fyrir ný MPTCP-tengi eru ekki búin til. Þjónustur sem eru þegar í gangi munu halda áfram að hlusta í gegnum MPTCP, svo endurræstu allar þjónustur sem eru skráðar af ss -lnMp og vertu viss um að úttakið sé nú tómt.

Á AlmaLinux er MPTCP sjálfkrafa óvirkt nema þú hafir virkjað það sjálfur.

Slökkva á MPTCP í Go forritum

Fyrir þjónustur sem eru byggðar með Go 1.24 eða nýrri er hægt að slökkva á MPTCP með umhverfisbreytu. Til dæmis, fyrir þjónustu sem kallast myservice:

systemctl edit myservice

Bætið eftirfarandi við skrána sem opnast:

[Service]
Environment=GODEBUG=multipathtcp=0

Endurræstu síðan þjónustuna:

systemctl restart myservice

Uppfæra röntgenmynd

Ef netþjónninn þinn keyrir Xray skaltu uppfæra hann í útgáfu 26.10.31 eða nýrri. Forritarar hafa dregið til baka fyrri útgáfuna, útgáfu 26.10.29. Þessi uppfærsla gerir MPTCP óvirkan en lagar ekki kjarnann, þannig að kjarnauppfærsla er enn nauðsynleg.

Athugaðu eina stillingu í viðbót

Önnur, þrengri nýtingarleið krefst þess að beiðniflutningur sé virkur. Sjálfgefið er að slökkva á honum — vertu viss um að það sé gert:

sysctl net.ipv4.tcp_migrate_req

Skipunin ætti að prenta 0.

Takmarka aðgang að þjónustu þinni

Lokaðu öllum eldveggsgáttum sem ekki þarf að vera hægt að ná til frá internetinu. Þar sem mögulegt er, opnaðu stjórnunarþjónustur — SSH, stjórnborð, gagnagrunna — aðeins fyrir traust IP-tölur.

Skref 4. Eftir að fastur kjarni hefur verið settur upp

1. Endurræstu þjóninn og notaðu skipanirnar úr skrefi 1 til að staðfesta að lagfærði kjarninn sé í gangi.
2. Þú getur fjarlægt tímabundna regluna:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Ef þú þarft MPTCP, endurheimtu stillinguna: eyða /etc/sysctl.d/99-disable-mptcp.conf og hlaupa sysctl -w net.mptcp.enabled=1.

Ef eitthvað fer úrskeiðis

Ef netþjónninn þinn ræsist ekki eftir kjarnauppfærsluna skaltu tengjast í gegnum VNC stjórnborðið í stjórnborðinu og velja fyrri kjarna í ræsivalmyndinni. Ef þú ert ekki viss um að þú getir gert þetta sjálfur eða þarft aðstoð við uppfærsluna skaltu hafa samband við þjónustudeild okkar.