פגיעות קריטית בליבת לינוקס CVE-2026-98432: כיצד לבדוק ולעדכן את ה-VPS שלך

באוקטובר 2026, נמצאה פגיעות קריטית, CVE-2026-98432 , בליבת לינוקס, שדורגה 9.8 מתוך 10 בסולם CVSS. היא משפיעה על אופן הטיפול בחיבורי IPv4 TCP נכנסים, ובתנאים מסוימים, מאפשרת לתוקף לקבל גישת root לשרת מרחוק - ללא סיסמה וללא צורך בפעולה מצד מנהל המערכת.

להלן מידע על מי מושפע, כיצד לבדוק את השרת שלך וכיצד להגן עליו. כל הפקודות מבוצעות כ-root או עם sudo.

הפגיעות בקצרה

• מה זה: באג מסוג "use-after-free" בקוד שמגדיר חיבורי TCP מסוג IPv4, שנגרם על ידי מצב מרוץ. התוקף שולח חבילות בעלות מבנה מיוחד לכל פורט TCP פתוח.
• גרעינים מושפעים: כל גרסה מאז לינוקס 4.4, מה שאומר כמעט כל הפצה נוכחית.
• IPv6 אינו מושפע מהבאג העיקרי.
• עד כמה האיום אמיתי: חוקרים מקבוצת Anthropic הדגימו שרשרת פרצות גישה פעילה שקיבלה גישת root בשרת עם Multipath TCP (MPTCP) מופעל תוך כ-53 דקות. קוד הפריצה לא פורסם.
• התקפות בטבע: נכון ל-1 בנובמבר 2026, לא דווח על ניצול. זוהי סיבה לעדכן ברוגע, לא סיבה לדחות זאת.

לשירותי Go יש סיכון נפרד. מאז Go 1.24, תוכניות שרת בלינוקס מאזינות לפורטים דרך MPTCP כברירת מחדל בכל פעם שהליבה מאפשרת זאת. ייתכן שמנהל מערכת אפילו לא יודע שהשרת שלו מקבל חיבורים כאלה. בין התוכניות הפופולריות, Xray פועלת כך - המפתחים שלה כבר פרסמו גרסת חירום, v26.10.31, אשר מבטלת את MPTCP כברירת מחדל.

כל VPS מריץ ליבה משלו, לכן עליכם לעדכן את הליבה בתוך השרת שלכם בעצמכם. אנו מעדכנים את צמתי הווירטואליזציה בעצמנו.

האם יש תיקון למערכת שלך

סטטוס נכון ל-1 בנובמבר 2026. תיקונים מגיעים כמעט מדי יום - בדקו את הקישורים בסוף מאמר זה לקבלת הסטטוס הנוכחי.

שלב 1. בדוק איזה ליבה אתה מפעיל

גלה את גרסת הליבה הפעילה:

uname -r

מספר הגרסה לבדו לא אומר לך כלום: הפצות מחזירות תיקונים לגרעינים שלהן מבלי לשנות את גרסת הבסיס. אמין יותר לבדוק את יומן השינויים של חבילת הגרעין - אם הוא מזכיר את מספר ה-CVE, התיקון כבר מותקן.

דביאן ואובונטו:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

בדביאן, ה- uname -v הפקודה מציגה גם את גרסת החבילה המלאה של הליבה הפעילה: השווה אותה לטבלה למעלה.

אלמה לינוקס, רוקי לינוקס, RHEL, אורקל לינוקס:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

אם הפקודה לא מדפיסה דבר, הליבה הפעילה פגיעה.

לאחר מכן, בדקו אילו שירותים מקבלים חיבורים דרך MPTCP. שרתים כמו אלה היו המטרה בהתקפה שהודגמה:

ss -lnMp

פלט ריק פירושו שאין מאזיני MPTCP.

שלב 2. התקנת הליבה המתוקנת

צלם גיבוי או תמונת מצב של השרת שלך לפני עדכון הליבה.

דביאן 12 ו-13

הליבות המתוקנות נמצאות במאגר האבטחה. ודא שהוא מופעל:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

אם לא נמצא דבר, הוסף את security.debian.org מאגר עבור הגרסה שלך. לאחר מכן עדכן את המערכת:

apt update
apt full-upgrade
reboot

אובונטו

גרעינים מתוקנים טרם פורסמו. בדוק אם יש עדכונים:

apt update
apt list --upgradable | grep linux-image

אם השרת שלך מחובר לאובונטו פרו, תוכל לבדוק את תוכנית התיקון:

pro fix CVE-2026-98432 --dry-run

לאחר שהתיקון ישוחרר, התקן אותו והפעל מחדש:

apt update
apt full-upgrade
reboot

עד אז, הקפידו להחיל את ההגנה הזמנית משלב 3.

אלמה לינוקס 8, 9, 10

גרעינים קבועים זמינים כרגע רק במאגר הבדיקות. התקן אותם אם אתה מרגיש בנוח לעשות זאת בשרת ייצור, וודא שאתה מצלם תמונת מצב לפני העדכון:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

לאחר אתחול מחדש, השווה uname -r עם הגרסאות בטבלה למעלה. אם אינך מעוניין להתקין חבילות בדיקה, הפעל את ההגנה הזמנית והמתן עד שהתיקון יגיע למאגר הראשי.

רוקי לינוקס ומערכות אחרות מבוססות RHEL

אין עדיין פתרון. ניתן לעקוב אחר זה באמצעות:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

לאחר פרסום התיקון:

dnf update kernel
reboot

לאחר עדכון: נדרש אתחול מחדש

הליבה החדשה נכנסת לתוקף רק לאחר אתחול מחדש. כדי לבדוק אם נדרשת אחת:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

לאחר אתחול מחדש, חזור על הבדיקה משלב 1.

שלב 3. הגנה זמנית עד שיהיה זמין ליבה קבועה

אמצעים אלה מפחיתים את הסיכון אך אינם מחליפים עדכון ליבה.

חסום את חבילות הטריגר

ההתקפה משתמשת בחבילות TCP עם אפשרויות IP בכותרת ה-IPv4. הן כמעט ולא מופיעות בתעבורה רגילה, ו-RFC 7126 כבר ממליץ להשמיט אותן. כלל ה-nftables שלהלן משמיט את כל חבילות ה-IPv4 TCP הנכנסות עם אפשרויות ואינו משפיע על IPv6, UDP או ICMP. הוא פועל לצד ufw ו-firewalld.

התקן את nftables אם הוא עדיין לא מותקן:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

צור את קובץ הכללים:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

כדי לשחזר את הכלל לאחר כל אתחול מחדש, צור שירות systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

בדוק שהכלל נטען:

nft list table ip cve_2026_98432

אם תפעיל מחדש את שירות nftables עם קוד גלובלי flush ruleset שלטון, הפעלה systemctl restart cve-2026-98432 לאחר מכן.

חשוב: אין להחיל כלל זה על רשתות המשתמשות בתוויות CIPSO (SELinux או Smack NetLabel) - אפשרויות IP משמשות בדרך כלל שם. אם השרת שלך מנתב תעבורה עבור מכונות אחרות, הכלל יבטל גם את חבילות ה-TCP שלהן עם אפשרויות IP.

השבת את MPTCP אם אינך זקוק לו

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

הגדרה זו מונעת רק חדש יצירת שקעי MPTCP. שירותים שכבר פועלים ימשיכו להאזין דרך MPTCP, לכן הפעל מחדש כל שירות המופיע על ידי ss -lnMp וודאו שהפלט שלו ריק כעת.

ב-AlmaLinux, MPTCP מושבת כברירת מחדל אלא אם כן הפעלת אותו בעצמך.

השבתת MPTCP בתוכניות Go

עבור שירותים שנבנו עם Go 1.24 ואילך, ניתן להשבית את MPTCP באמצעות משתנה סביבה. לדוגמה, עבור שירות שנקרא myservice:

systemctl edit myservice

הוסף את הפרטים הבאים לקובץ שנפתח:

[Service]
Environment=GODEBUG=multipathtcp=0

לאחר מכן הפעל מחדש את השירות:

systemctl restart myservice

עדכון רנטגן

אם השרת שלך מריץ את Xray, עדכן אותו לגרסה 26.10.31 או מאוחרת יותר. הגרסה הקודמת, גרסה 26.10.29, הוסרה על ידי המפתחים שלה. עדכון זה משבית את MPTCP אך אינו מתקן את הליבה, כך שעדיין נדרש עדכון ליבה.

בדוק עוד הגדרה אחת

נתיב ניצול שני, צר יותר, דורש הפעלת הגירת בקשות. זה כבוי כברירת מחדל - ודא שזה כך:

sysctl net.ipv4.tcp_migrate_req

הפקודה צריכה להדפיס 0.

הגבל את הגישה לשירותים שלך

סגור כל פורט של חומת האש שאינו צריך להיות נגיש מהאינטרנט. במידת האפשר, פתח שירותי ניהול - SSH, לוחות בקרה, מסדי נתונים - רק לכתובות IP מהימנות.

שלב 4. לאחר התקנת הליבה המתוקנת

1. הפעל מחדש את השרת והשתמש בפקודות משלב 1 כדי לאשר שהליבה המתוקנת פועלת.
2. ניתן להסיר את הכלל הזמני:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. אם אתה זקוק ל-MPTCP, שחזר את ההגדרה: מחק /etc/sysctl.d/99-disable-mptcp.conf ורוץ sysctl -w net.mptcp.enabled=1.

אם משהו משתבש

אם השרת שלך לא מאתחל לאחר עדכון הליבה, התחבר דרך קונסולת VNC בלוח הבקרה ובחר את הליבה הקודמת בתפריט האתחול. אם אינך בטוח שאתה יכול לעשות זאת בעצמך, או שאתה זקוק לעזרה עם העדכון, צור קשר עם צוות התמיכה שלנו.