Kerentanan Kernel Linux sing Penting CVE-2026-98432: Cara Mriksa lan Nganyari VPS Sampeyan

Ing Oktober 2026, kerentanan kritis, CVE-2026-98432 , ditemokake ing kernel Linux, kanthi rating 9.8 saka 10 ing skala CVSS. Iki mengaruhi cara sambungan IPv4 TCP mlebu ditangani lan, ing kahanan tartamtu, ngidini penyerang entuk akses root menyang server saka jarak jauh — tanpa sandhi lan ora ana tindakan sing dibutuhake saka administrator.

Ing ngisor iki sapa sing kena pengaruh, kepiye carane mriksa server sampeyan lan kepiye carane nglindhungi. Kabeh printah dilakokake minangka root utawa nganggo sudo.

Kerentanan kasebut kanthi ringkes

• Apa iku: bug use-after-free ing kode sing nyetel sambungan IPv4 TCP, sing disebabake dening kondisi balapan. Penyerang ngirim paket sing digawe khusus menyang port TCP sing mbukak.
• Kernel sing kena pengaruh: saben versi wiwit Linux 4.4, sing tegese meh saben distribusi saiki.
• IPv6 ora kena pengaruh bug utama.
• Sepira nyata ancaman kasebut: Para peneliti antropik nduduhake rantai eksploitasi sing bisa digunakake sing entuk akses root ing server kanthi Multipath TCP (MPTCP) sing diaktifake sajrone udakara 53 menit. Kode eksploitasi kasebut durung diterbitake.
• Serangan ing alam bébas: Ing tanggal 1 November 2026, durung ana laporan eksploitasi. Kuwi alesan kanggo nganyari kanthi tenang, dudu alesan kanggo nundha.

Layanan Go nduweni risiko sing kapisah. Wiwit Go 1.24, program server ing Linux ngrungokake port liwat MPTCP kanthi standar kapan wae kernel ngidini. Administrator bisa uga ora ngerti yen server kasebut nampa sambungan kasebut. Ing antarane program populer, Xray kerjane kaya ngene — para pangembang wis ngrilis versi darurat, v26.10.31, sing mateni MPTCP kanthi standar.

Saben VPS mbukak kernel dhewe, mula sampeyan kudu nganyari kernel ing njero server sampeyan dhewe. Kita nganyari node virtualisasi dhewe.

Apa ana solusi kanggo sistem sampeyan

Status per 1 November 2026. Perbaikan muncul meh saben dina — priksa pranala ing pungkasan artikel iki kanggo status saiki.

Langkah 1. Priksa kernel endi sing lagi sampeyan jalanake

Golekana versi kernel sing lagi mlaku:

uname -r

Nomer versi wae ora ngandhani apa-apa: backport distribusi ndandani menyang kernel dhewe tanpa ngganti versi dhasar. Luwih dipercaya kanggo mriksa changelog paket kernel — yen nyebutake nomer CVE, ndandani wis diinstal.

Debian lan Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Ing Debian, uname -v Perintah iki uga nuduhake versi paket lengkap saka kernel sing mlaku: bandhingake karo tabel ing ndhuwur.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Yen printah ora nyetak apa-apa, kernel sing mlaku rentan.

Sabanjure, priksa layanan endi sing nampa sambungan liwat MPTCP. Server kaya iki minangka target ing serangan sing dituduhake:

ss -lnMp

Output kosong tegese ora ana pamireng MPTCP.

Langkah 2. Instal kernel sing wis didandani

Gawe serep utawa snapshot server sampeyan sadurunge nganyari kernel.

Debian 12 lan 13

Kernel sing wis dibenerake ana ing gudang keamanan. Priksa manawa wis diaktifake:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Yen ora ana sing ditemokake, tambahake security.debian.org repositori kanggo rilis sampeyan. Banjur nganyari sistem:

apt update
apt full-upgrade
reboot

ubuntu

Kernel sing wis didandani durung dirilis. Priksa nganyari:

apt update
apt list --upgradable | grep linux-image

Yen server sampeyan wis kasambung karo Ubuntu Pro, sampeyan bisa mriksa rencana ndandani:

pro fix CVE-2026-98432 --dry-run

Sawise ndandani dirilis, instal lan uripake maneh:

apt update
apt full-upgrade
reboot

Nganti wektune, priksa manawa sampeyan wis ngetrapake pangayoman sementara saka Langkah 3.

AlmaLinux 8, 9, 10

Kernel sing wis dibenerake saiki mung kasedhiya ing repositori uji coba. Instal yen sampeyan kepenak nindakake ing server produksi, lan priksa manawa sampeyan njupuk snapshot sadurunge nganyari:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Sawise miwiti maneh, bandingake uname -r karo versi ing tabel ing ndhuwur. Yen sampeyan ora pengin nginstal paket uji coba, terapke pangayoman sementara lan enteni nganti ndandani tekan repositori utama.

Rocky Linux lan sistem berbasis RHEL liyané

Durung ana solusine. Sampeyan bisa nggoleki solusine nganggo:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Sawise ndandani dirilis:

dnf update kernel
reboot

Sawise nganyari: kudu diuripake maneh

Kernel anyar mung bakal efektif sawise di-reboot. Kanggo mriksa apa dibutuhake:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Sawise miwiti maneh, baleni pamriksan saka Langkah 1.

Langkah 3. Proteksi sementara nganti kernel tetep kasedhiya

Langkah-langkah iki nyuda risiko nanging ora ngganti pembaruan kernel.

Blokir paket pemicu

Serangan iki nggunakake paket TCP kanthi opsi IP ing header IPv4. Paket kasebut meh ora tau katon ing lalu lintas normal, lan RFC 7126 wis nyaranake supaya ora digunakake maneh. Aturan nftables ing ngisor iki ora digunakake maneh kanggo mbusak kabeh paket TCP IPv4 sing mlebu kanthi opsi lan ora mengaruhi IPv6, UDP utawa ICMP. Paket iki bisa digunakake bebarengan karo ufw lan firewalld.

Instal nftables yen durung diinstal:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Gawe file aturan:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Kanggo mulihake aturan sawise saben reboot, gawe layanan systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Priksa manawa aturan kasebut wis dimuat:

nft list table ip cve_2026_98432

Yen sampeyan miwiti maneh layanan nftables nganggo global flush ruleset mrentah, mlaku systemctl restart cve-2026-98432 sesampunipun

Penting: aja nerapke aturan iki ing jaringan sing nggunakake label CIPSO (SELinux utawa Smack NetLabel) — opsi IP biasane digunakake ing kana. Yen server sampeyan ngarahake lalu lintas menyang mesin liyane, aturan kasebut uga bakal ngeculake paket TCP kanthi opsi IP.

Pateni MPTCP yen sampeyan ora mbutuhake

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Setelan iki mung nyegah anyar Soket MPTCP ora digawe. Layanan sing wis mlaku bakal terus ngrungokake liwat MPTCP, mula miwiti maneh saben layanan sing kadhaptar dening ss -lnMp lan priksa manawa output saiki kosong.

Ing AlmaLinux, MPTCP dipateni kanthi gawan kajaba sampeyan ngaktifake dhewe.

Nonaktifake MPTCP ing program Go

Kanggo layanan sing digawe nganggo Go 1.24 utawa sing luwih anyar, sampeyan bisa mateni MPTCP nganggo variabel lingkungan. Contone, kanggo layanan sing diarani myservice:

systemctl edit myservice

Tambahake ing ngisor iki menyang file sing mbukak:

[Service]
Environment=GODEBUG=multipathtcp=0

Banjur miwiti maneh layanan:

systemctl restart myservice

Nganyari rontgen

Yen server sampeyan mbukak Xray, update menyang v26.10.31 utawa sing luwih anyar. Versi sadurunge, v26.10.29, wis dicabut dening para pangembang. Update iki mateni MPTCP nanging ora ndandani kernel, mula update kernel isih dibutuhake.

Priksa siji setelan maneh

Jalur eksploitasi kapindho sing luwih sempit mbutuhake migrasi panjaluk supaya diaktifake. Jalur iki dipateni kanthi gawan — priksa manawa wis aktif:

sysctl net.ipv4.tcp_migrate_req

Perintah kasebut kudune nyetak 0.

Watesi akses menyang layanan sampeyan

Tutup saben port firewall sing ora perlu bisa digayuh saka internet. Yen bisa, bukak layanan administratif — SSH, panel kontrol, database — mung menyang alamat IP sing dipercaya.

Langkah 4. Sawise nginstal kernel sing wis didandani

1. Uripake maneh server lan gunakake printah saka Langkah 1 kanggo ngonfirmasi manawa kernel sing wis didandani wis mlaku.
2. Sampeyan bisa mbusak aturan sementara:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Yen sampeyan butuh MPTCP, mulihake setelan: busak /etc/sysctl.d/99-disable-mptcp.conf lan mlayu sysctl -w net.mptcp.enabled=1.

Yen ana sing salah

Yen server sampeyan ora bisa boot sawise nganyari kernel, sambungake liwat konsol VNC ing panel kontrol lan pilih kernel sadurunge ing menu boot. Yen sampeyan ora yakin bisa nindakake iki dhewe, utawa butuh bantuan karo nganyari, hubungi tim dhukungan kita.