Linux-ის ბირთვის კრიტიკული დაუცველობა CVE-2026-98432: როგორ შეამოწმოთ და განაახლოთ თქვენი VPS

2026 წლის ოქტომბერში Linux-ის ბირთვში აღმოაჩინეს კრიტიკული დაუცველობა, CVE-2026-98432 , რომელიც CVSS შკალით 10-დან 9.8 ქულით შეფასდა. ის გავლენას ახდენს შემომავალი IPv4 TCP კავშირების დამუშავების წესზე და გარკვეულ პირობებში, თავდამსხმელს საშუალებას აძლევს დისტანციურად მიიღოს root წვდომა სერვერზე — პაროლის და ადმინისტრატორის მხრიდან რაიმე ქმედების გარეშე.

ქვემოთ მოცემულია, თუ ვინ არის დაზარალებული, როგორ შეამოწმოთ თქვენი სერვერი და როგორ დავიცვათ იგი. ყველა ბრძანება შესრულდება root-ის სახელით ან წვდომის უფლებით. sudo.

დაუცველობა მოკლედ

• რა არის ეს: კოდში არსებული შეცდომა, რომელიც IPv4 TCP კავშირებს ამყარებს და გამოწვეულია რბოლის პირობით. თავდამსხმელი სპეციალურად შექმნილ პაკეტებს ნებისმიერ ღია TCP პორტზე აგზავნის.
• დაზარალებული ბირთვები: Linux 4.4-დან მოყოლებული ყველა ვერსიაში, რაც პრაქტიკულად ყველა მიმდინარე დისტრიბუციას ნიშნავს.
• IPv6 ძირითადი შეცდომა მასზე გავლენას არ ახდენს.
• რამდენად რეალურია საფრთხე: ანთროპულმა მკვლევრებმა აჩვენეს მოქმედი ექსპლოიტების ჯაჭვი, რომელმაც დაახლოებით 53 წუთში მოიპოვა root წვდომა სერვერზე, სადაც ჩართული იყო Multipath TCP (MPTCP). ექსპლოიტის კოდი არ გამოქვეყნებულა.
• თავდასხმები ველურ ბუნებაში: 2026 წლის 1 ნოემბრის მდგომარეობით, ექსპლუატაციის შესახებ ინფორმაცია არ გავრცელებულა. ეს განახლების მშვიდად განთავსების მიზეზია და არა მისი გადადების მიზეზი.

Go სერვისებს ცალკე რისკი აქვთ. Go 1.24 ვერსიიდან მოყოლებული, Linux-ის სერვერული პროგრამები სტანდარტულად უსმენენ პორტებს MPTCP-ის საშუალებით, როდესაც ბირთვი ამის საშუალებას იძლევა. ადმინისტრატორმა შეიძლება არც კი იცოდეს, რომ მისი სერვერი ასეთ კავშირებს იღებს. პოპულარულ პროგრამებს შორის Xray ამ გზით მუშაობს - მისმა დეველოპერებმა უკვე გამოუშვეს საგანგებო ვერსია, v26.10.31, რომელიც სტანდარტულად გამორთავს MPTCP-ს.

თითოეული VPS იყენებს საკუთარ ბირთვს, ამიტომ თქვენ თავად უნდა განაახლოთ სერვერის ბირთვი. ჩვენ თავად ვაახლებთ ვირტუალიზაციის კვანძებს.

არის თუ არა თქვენი სისტემის გამოსწორების გზა?

სტატუსი 2026 წლის 1 ნოემბრის მდგომარეობით. შესწორებები თითქმის ყოველდღიურად ხდება — მიმდინარე სტატუსის სანახავად იხილეთ სტატიის ბოლოს მოცემული ბმულები.

ნაბიჯი 1. შეამოწმეთ, რომელ ბირთვს იყენებთ

გაშვებული ბირთვის ვერსიის გაცნობა:

uname -r

მხოლოდ ვერსიის ნომერი არაფერს გეუბნებათ: დისტრიბუციები ასწორებენ საკუთარ ბირთვებში საბაზისო ვერსიის შეცვლის გარეშე. უფრო საიმედოა ბირთვის პაკეტის ცვლილებების ჟურნალის შემოწმება — თუ ის ახსენებს CVE ნომერს, ესე იგი, შესწორება უკვე დაინსტალირებულია.

Debian და Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Debian-ზე, uname -v ბრძანება ასევე აჩვენებს გაშვებული ბირთვის სრულ პაკეტის ვერსიას: შეადარეთ იგი ზემოთ მოცემულ ცხრილს.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

თუ ბრძანება არაფერს ბეჭდავს, გაშვებული ბირთვი დაუცველია.

შემდეგ, შეამოწმეთ, რომელი სერვისები იღებენ კავშირებს MPTCP-ის საშუალებით. დემონსტრირებული შეტევის სამიზნე სწორედ ასეთი სერვერები იყვნენ:

ss -lnMp

ცარიელი გამომავალი ნიშნავს, რომ MPTCP მსმენელები არ არიან.

ნაბიჯი 2. დააინსტალირეთ ფიქსირებული ბირთვი

ბირთვის განახლებამდე შექმენით თქვენი სერვერის სარეზერვო ასლი ან სნეპშოტი.

Debian 12 და 13

გამოსწორებული ბირთვები უსაფრთხოების საცავშია. დარწმუნდით, რომ ის ჩართულია:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

თუ ვერაფერი მოიძებნა, დაამატეთ security.debian.org თქვენი ვერსიის საცავი. შემდეგ განაახლეთ სისტემა:

apt update
apt full-upgrade
reboot

Ubuntu

გამოსწორებული ბირთვები ჯერ არ გამოსულა. შეამოწმეთ განახლებები:

apt update
apt list --upgradable | grep linux-image

თუ თქვენი სერვერი Ubuntu Pro-სთან არის დაკავშირებული, შეგიძლიათ შეამოწმოთ გამოსწორების გეგმა:

pro fix CVE-2026-98432 --dry-run

როგორც კი გამოსწორება გამოვა, დააინსტალირეთ იგი და გადატვირთეთ:

apt update
apt full-upgrade
reboot

მანამდე, აუცილებლად გამოიყენეთ მე-3 ნაბიჯიდან დროებითი დაცვა.

ალმალინუქსი 8, 9, 10

ფიქსირებული ბირთვები ამჟამად მხოლოდ ტესტირების საცავშია ხელმისაწვდომი. დააინსტალირეთ ისინი, თუ ამის გაკეთება საწარმოო სერვერზე გსურთ და განახლებამდე აუცილებლად გადაიღეთ სურათი:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

გადატვირთვის შემდეგ, შეადარეთ uname -r ზემოთ მოცემულ ცხრილში მოცემული ვერსიებით. თუ არ გსურთ სატესტო პაკეტების ინსტალაცია, გამოიყენეთ დროებითი დაცვა და დაელოდეთ შესწორების მთავარ საცავში მოხვედრას.

Rocky Linux და სხვა RHEL-ზე დაფუძნებული სისტემები

ჯერჯერობით გამოსწორება არ არსებობს. შეგიძლიათ თვალყური ადევნოთ შემდეგს:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

გამოსწორების გამოშვების შემდეგ:

dnf update kernel
reboot

განახლების შემდეგ: საჭიროა გადატვირთვა

ახალი ბირთვი მხოლოდ გადატვირთვის შემდეგ ამოქმედდება. იმის შესამოწმებლად, საჭიროა თუ არა ის:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

გადატვირთვის შემდეგ, გაიმეორეთ შემოწმება პირველი ნაბიჯიდან.

ნაბიჯი 3. დროებითი დაცვა ფიქსირებული ბირთვის ხელმისაწვდომობამდე

ეს ზომები ამცირებს რისკს, მაგრამ არ ცვლის ბირთვის განახლებას.

ტრიგერის პაკეტების დაბლოკვა

შეტევა იყენებს TCP პაკეტებს IPv4 სათაურში IP პარამეტრებით. ისინი პრაქტიკულად არასდროს ჩნდებიან ნორმალურ ტრაფიკში და RFC 7126 უკვე გირჩევთ მათ წაშლას. ქვემოთ მოცემული nftables წესი წაშლის ყველა შემომავალ IPv4 TCP პაკეტს პარამეტრებით და არ მოქმედებს IPv6, UDP ან ICMP-ზე. ის მუშაობს ufw-სა და firewalld-თან ერთად.

დააინსტალირეთ nftables, თუ ის უკვე არ არის დაინსტალირებული:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

შექმენით წესის ფაილი:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

ყოველი გადატვირთვის შემდეგ წესის აღსადგენად, შექმენით systemd სერვისი:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

შეამოწმეთ, რომ წესი ჩატვირთულია:

nft list table ip cve_2026_98432

თუ nftables სერვისს გლობალური ბრძანებით გადატვირთავთ flush ruleset მმართველობა, სირბილი systemctl restart cve-2026-98432 შემდეგ

მნიშვნელოვანია: არ გამოიყენოთ ეს წესი ქსელებზე, რომლებიც იყენებენ CIPSO ეტიკეტებს (SELinux ან Smack NetLabel) — IP პარამეტრები ჩვეულებრივ გამოიყენება იქ. თუ თქვენი სერვერი სხვა მანქანებისთვის გადამისამართებს ტრაფიკს, წესი ასევე წაშლის მათ TCP პაკეტებს IP პარამეტრებით.

გამორთეთ MPTCP, თუ არ გჭირდებათ

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

ეს პარამეტრი მხოლოდ ხელს უშლის ახალი MPTCP სოკეტების შექმნა. უკვე გაშვებული სერვისები გააგრძელებენ MPTCP-ის მეშვეობით მოსმენას, ამიტომ გადატვირთეთ ყველა სერვისი, რომელიც ჩამოთვლილია ss -lnMp და დარწმუნდით, რომ მისი გამომავალი ახლა ცარიელია.

AlmaLinux-ზე MPTCP სტანდარტულად გამორთულია, თუ თქვენ თვითონ არ ჩართავთ მას.

გამორთეთ MPTCP Go პროგრამებში

Go 1.24 ან უფრო გვიანდელი ვერსიით შექმნილი სერვისებისთვის, შეგიძლიათ გამორთოთ MPTCP გარემოს ცვლადით. მაგალითად, სერვისისთვის, რომელსაც ეწოდება myservice:

systemctl edit myservice

გახსნილ ფაილს დაამატეთ შემდეგი:

[Service]
Environment=GODEBUG=multipathtcp=0

შემდეგ გადატვირთეთ სერვისი:

systemctl restart myservice

რენტგენის განახლება

თუ თქვენს სერვერზე მუშაობს Xray, განაახლეთ ის v26.10.31 ან უფრო გვიანდელ ვერსიამდე. წინა ვერსია, v26.10.29, მისი დეველოპერების მიერ გაუქმდა. ეს განახლება გამორთავს MPTCP-ს, მაგრამ არ ასწორებს ბირთვის პრობლემას, ამიტომ ბირთვის განახლება მაინც საჭიროა.

შეამოწმეთ კიდევ ერთი პარამეტრი

მეორე, უფრო ვიწრო ექსპლუატაციის გზა მოითხოვს მოთხოვნის მიგრაციის ჩართვას. ის სტანდარტულად გამორთულია - დარწმუნდით, რომ ჩართულია:

sysctl net.ipv4.tcp_migrate_req

ბრძანება უნდა დაიბეჭდოს 0.

შეზღუდეთ თქვენს სერვისებზე წვდომა

დახურეთ ყველა firewall პორტი, რომელიც ინტერნეტიდან ხელმისაწვდომი არ არის. სადაც შესაძლებელია, გახსენით ადმინისტრაციული სერვისები — SSH, საკონტროლო პანელები, მონაცემთა ბაზები — მხოლოდ სანდო IP მისამართებისთვის.

ნაბიჯი 4. ფიქსირებული ბირთვის ინსტალაციის შემდეგ

1. გადატვირთეთ სერვერი და გამოიყენეთ პირველი ნაბიჯის ბრძანებები იმის დასადასტურებლად, რომ გამოსწორებული ბირთვი მუშაობს.
2. დროებითი წესის წაშლა შეგიძლიათ:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. თუ MPTCP გჭირდებათ, აღადგინეთ პარამეტრი: წაშლა /etc/sysctl.d/99-disable-mptcp.conf და გაიქეცი sysctl -w net.mptcp.enabled=1.

თუ რამე არასწორია

თუ თქვენი სერვერი ბირთვის განახლების შემდეგ არ ჩაირთვება, დაუკავშირდით მას მართვის პანელში VNC კონსოლის მეშვეობით და ჩატვირთვის მენიუში აირჩიეთ წინა ბირთვი. თუ არ ხართ დარწმუნებული, რომ ამის გაკეთება თავად შეგიძლიათ ან დახმარება გჭირდებათ განახლებასთან დაკავშირებით, დაუკავშირდით ჩვენს დახმარების გუნდს.