ភាពងាយរងគ្រោះធ្ងន់ធ្ងររបស់ខឺណែលលីនុច CVE-2026-98432៖ របៀបពិនិត្យ និងធ្វើបច្ចុប្បន្នភាព VPS របស់អ្នក

នៅក្នុងខែតុលា ឆ្នាំ២០២៦ ចំណុចខ្សោយដ៏សំខាន់មួយ គឺ CVE-2026-98432 ត្រូវបានរកឃើញនៅក្នុងខឺណែលលីនុច ដែលទទួលបានចំណាត់ថ្នាក់ ៩,៨ លើ ១០ លើមាត្រដ្ឋាន CVSS។ វាប៉ះពាល់ដល់របៀបដែលការតភ្ជាប់ TCP IPv4 ចូលត្រូវបានដោះស្រាយ ហើយក្រោមលក្ខខណ្ឌមួយចំនួន អនុញ្ញាតឱ្យអ្នកវាយប្រហារទទួលបានការចូលប្រើជា root ទៅកាន់ម៉ាស៊ីនមេពីចម្ងាយ — ដោយមិនចាំបាច់ប្រើពាក្យសម្ងាត់ និងមិនត្រូវការសកម្មភាពពីអ្នកគ្រប់គ្រងឡើយ។

ខាងក្រោមនេះគឺជាអ្នកដែលរងផលប៉ះពាល់ របៀបពិនិត្យមើលម៉ាស៊ីនមេរបស់អ្នក និងរបៀបការពារវា។ ពាក្យបញ្ជាទាំងអស់ត្រូវបានដំណើរការជា root ឬជាមួយ sudo.

ភាពងាយរងគ្រោះដោយសង្ខេប

• តើ​វា​ជា​អ្វី: កំហុស use-after-free នៅក្នុងកូដដែលរៀបចំការតភ្ជាប់ IPv4 TCP ដែលបណ្តាលមកពីស្ថានភាពប្រកួតប្រជែង។ អ្នកវាយប្រហារផ្ញើកញ្ចប់ដែលបង្កើតឡើងជាពិសេសទៅកាន់ច្រក TCP ដែលបើកណាមួយ។
• ខឺណែលដែលរងផលប៉ះពាល់៖ គ្រប់កំណែទាំងអស់ចាប់តាំងពី Linux 4.4 ដែលមានន័យថាស្ទើរតែគ្រប់ការចែកចាយបច្ចុប្បន្ន។
• IPv6 មិនត្រូវបានប៉ះពាល់ដោយកំហុសចម្បងទេ។
• តើការគំរាមកំហែងពិតប្រាកដប៉ុណ្ណា៖ ក្រុមអ្នកស្រាវជ្រាវ Anthropic បានបង្ហាញខ្សែសង្វាក់នៃការកេងប្រវ័ញ្ចដែលដំណើរការបាន ដែលទទួលបានសិទ្ធិចូលប្រើជា root នៅលើម៉ាស៊ីនមេដែលបើកដំណើរការ Multipath TCP (MPTCP) ក្នុងរយៈពេលប្រហែល 53 នាទី។ កូដកេងប្រវ័ញ្ចមិនទាន់ត្រូវបានបោះពុម្ពផ្សាយនៅឡើយទេ។
• ការវាយប្រហារនៅក្នុងព្រៃ៖ គិតត្រឹមថ្ងៃទី 1 ខែវិច្ឆិកា ឆ្នាំ 2026 គ្មានការកេងប្រវ័ញ្ចណាមួយត្រូវបានរាយការណ៍ទេ។ នោះជាហេតុផលដើម្បីធ្វើបច្ចុប្បន្នភាពដោយស្ងប់ស្ងាត់ មិនមែនជាហេតុផលដើម្បីពន្យារពេលវានោះទេ។

សេវាកម្ម Go មានហានិភ័យដាច់ដោយឡែកមួយ។ ចាប់តាំងពី Go 1.24 មក កម្មវិធីម៉ាស៊ីនមេនៅលើ Linux ស្តាប់តាមច្រកតាមរយៈ MPTCP តាមលំនាំដើមនៅពេលណាដែលខឺណែលអនុញ្ញាត។ អ្នកគ្រប់គ្រងអាចមិនដឹងថាម៉ាស៊ីនមេរបស់ពួកគេទទួលយកការតភ្ជាប់បែបនេះទេ។ ក្នុងចំណោមកម្មវិធីពេញនិយម Xray ដំណើរការតាមវិធីនេះ — អ្នកអភិវឌ្ឍន៍របស់វាបានចេញផ្សាយកំណែសង្គ្រោះបន្ទាន់រួចហើយ v26.10.31 ដែលបិទ MPTCP តាមលំនាំដើម។

VPS នីមួយៗដំណើរការ kernel ផ្ទាល់ខ្លួនរបស់វា ដូច្នេះអ្នកត្រូវធ្វើបច្ចុប្បន្នភាព kernel នៅក្នុងម៉ាស៊ីនមេរបស់អ្នកដោយខ្លួនឯង។ យើងធ្វើបច្ចុប្បន្នភាព node virtualization ដោយខ្លួនឯង។

តើមានការជួសជុលសម្រាប់ប្រព័ន្ធរបស់អ្នកទេ

ស្ថានភាពគិតត្រឹមថ្ងៃទី 1 ខែវិច្ឆិកា ឆ្នាំ 2026។ ការជួសជុលកំពុងមកដល់ស្ទើរតែរាល់ថ្ងៃ — សូមពិនិត្យមើលតំណភ្ជាប់នៅចុងបញ្ចប់នៃអត្ថបទនេះសម្រាប់ស្ថានភាពបច្ចុប្បន្ន។

ជំហានទី 1. ពិនិត្យមើលថាតើអ្នកកំពុងដំណើរការខឺណែលមួយណា

ស្វែងយល់ពីកំណែរបស់ខឺណែលដែលកំពុងដំណើរការ៖

uname -r

លេខកំណែតែមួយមុខមិនប្រាប់អ្នកអ្វីទាំងអស់៖ ការចែកចាយ backport ជួសជុលទៅក្នុង kernel ផ្ទាល់ខ្លួនរបស់វាដោយមិនចាំបាច់ផ្លាស់ប្តូរកំណែមូលដ្ឋាន។ វាកាន់តែអាចទុកចិត្តបានក្នុងការពិនិត្យមើល changelog នៃកញ្ចប់ kernel — ប្រសិនបើវាបញ្ជាក់ពីលេខ CVE ការជួសជុលត្រូវបានដំឡើងរួចហើយ។

ដេបៀន និង អ៊ូប៊ុនទូ៖

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

នៅលើ Debian, uname -v ពាក្យបញ្ជាក៏បង្ហាញកំណែកញ្ចប់ពេញលេញនៃខឺណែលដែលកំពុងដំណើរការផងដែរ៖ ប្រៀបធៀបវាជាមួយតារាងខាងលើ។

AlmaLinux, Rocky Linux, RHEL, Oracle Linux៖

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

ប្រសិនបើពាក្យបញ្ជាមិនបោះពុម្ពអ្វីទាំងអស់ នោះខឺណែលដែលកំពុងដំណើរការនឹងងាយរងគ្រោះ។

បន្ទាប់មក សូមពិនិត្យមើលថាតើសេវាកម្មណាខ្លះដែលទទួលយកការតភ្ជាប់តាមរយៈ MPTCP។ ម៉ាស៊ីនមេដូចជាទាំងនេះគឺជាគោលដៅនៅក្នុងការវាយប្រហារដែលបានបង្ហាញ៖

ss -lnMp

លទ្ធផលទទេមានន័យថាមិនមានអ្នកស្តាប់ MPTCP ទេ។

ជំហានទី 2. ដំឡើងខឺណែលដែលបានជួសជុល

ថតចម្លង ឬថតរូបភាពនៃម៉ាស៊ីនមេរបស់អ្នក មុនពេលធ្វើបច្ចុប្បន្នភាពខឺណែល។

ដេបៀន ៩ និង ១០

ខឺណែលដែលបានជួសជុលស្ថិតនៅក្នុងឃ្លាំងសុវត្ថិភាព។ ត្រូវប្រាកដថាវាត្រូវបានបើក៖

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

ប្រសិនបើរកមិនឃើញអ្វីទេ សូមបន្ថែម security.debian.org ឃ្លាំងសម្រាប់ការចេញផ្សាយរបស់អ្នក។ បន្ទាប់មកធ្វើបច្ចុប្បន្នភាពប្រព័ន្ធ៖

apt update
apt full-upgrade
reboot

គូប៊ុនទូ

ខឺណែលដែលបានជួសជុលមិនទាន់ត្រូវបានចេញផ្សាយនៅឡើយទេ។ សូមពិនិត្យមើលការអាប់ដេត៖

apt update
apt list --upgradable | grep linux-image

ប្រសិនបើម៉ាស៊ីនមេរបស់អ្នកត្រូវបានភ្ជាប់ទៅ Ubuntu Pro អ្នកអាចពិនិត្យមើលផែនការជួសជុល៖

pro fix CVE-2026-98432 --dry-run

នៅពេលដែលការជួសជុលត្រូវបានចេញផ្សាយ សូមដំឡើងវា ហើយចាប់ផ្ដើមឡើងវិញ៖

apt update
apt full-upgrade
reboot

រហូតមកដល់ពេលនោះ ត្រូវប្រាកដថាអនុវត្តការការពារបណ្ដោះអាសន្នពីជំហានទី 3។

AlmaLinux 8, 9, 10

ខឺណែល​ដែល​បាន​ជួសជុល​បច្ចុប្បន្ន​មាន​តែ​នៅ​ក្នុង​ឃ្លាំង​សាកល្បង​ប៉ុណ្ណោះ។ សូម​ដំឡើង​វា​ប្រសិន​បើ​អ្នក​មាន​ផាសុកភាព​ក្នុង​ការ​ធ្វើ​ដូច្នេះ​នៅ​លើ​ម៉ាស៊ីន​បម្រើ​ផលិតកម្ម ហើយ​ត្រូវ​ប្រាកដ​ថា​ថត​រូបភាព​មុន​ពេល​ធ្វើ​បច្ចុប្បន្នភាព៖

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

បន្ទាប់ពីចាប់ផ្ដើមឡើងវិញ សូមប្រៀបធៀប uname -r ជាមួយកំណែនៅក្នុងតារាងខាងលើ។ ប្រសិនបើអ្នកមិនចង់ដំឡើងកញ្ចប់សាកល្បងទេ សូមអនុវត្តការការពារបណ្ដោះអាសន្ន ហើយរង់ចាំការជួសជុលទៅដល់ឃ្លាំងសំខាន់។

Rocky Linux និងប្រព័ន្ធដែលមានមូលដ្ឋានលើ RHEL ផ្សេងទៀត

មិនទាន់មានការជួសជុលនៅឡើយទេ។ អ្នកអាចរង់ចាំមើលវាជាមួយ៖

dnf --refresh updateinfo info --all --cves CVE-2026-98432

នៅពេលដែលការជួសជុលត្រូវបានចេញផ្សាយ៖

dnf update kernel
reboot

បន្ទាប់ពីការអាប់ដេត៖ តម្រូវឱ្យចាប់ផ្ដើមឡើងវិញ

ខឺណែលថ្មីមានប្រសិទ្ធភាពលុះត្រាតែអ្នកចាប់ផ្ដើមកុំព្យូទ័រឡើងវិញ (reboot)។ ដើម្បីពិនិត្យមើលថាតើត្រូវការខឺណែលនេះឬអត់៖

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

បន្ទាប់ពីចាប់ផ្ដើមឡើងវិញ សូមធ្វើការត្រួតពិនិត្យឡើងវិញពីជំហានទី 1។

ជំហានទី 3. ការការពារបណ្ដោះអាសន្នរហូតដល់ខឺណែលថេរអាចប្រើបាន

វិធានការទាំងនេះកាត់បន្ថយហានិភ័យ ប៉ុន្តែមិនជំនួសការអាប់ដេតខឺណែលទេ។

រារាំងកញ្ចប់បង្ក

ការវាយប្រហារនេះប្រើប្រាស់កញ្ចប់ TCP ជាមួយជម្រើស IP នៅក្នុងបឋមកថា IPv4។ ពួកវាមិនដែលលេចឡើងក្នុងចរាចរណ៍ធម្មតាទេ ហើយ RFC 7126 ណែនាំឱ្យទម្លាក់វាចោលរួចហើយ។ ច្បាប់ nftables ខាងក្រោមទម្លាក់កញ្ចប់ TCP IPv4 ចូលទាំងអស់ជាមួយជម្រើស ហើយមិនប៉ះពាល់ដល់ IPv6, UDP ឬ ICMP ទេ។ វាដំណើរការរួមគ្នាជាមួយ ufw និង firewalld។

ដំឡើង nftables ប្រសិនបើវាមិនទាន់ត្រូវបានដំឡើង៖

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

បង្កើតឯកសារក្បួនដោះស្រាយ៖

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

ដើម្បី​ស្ដារ​ច្បាប់​ឡើង​វិញ​បន្ទាប់​ពី​ការ​ចាប់ផ្ដើម​ឡើង​វិញ​រាល់ពេល សូម​បង្កើត​សេវាកម្ម systemd៖

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

ពិនិត្យមើលថាច្បាប់ត្រូវបានផ្ទុកហើយ៖

nft list table ip cve_2026_98432

ប្រសិនបើអ្នកចាប់ផ្តើមសេវាកម្ម nftables ឡើងវិញជាមួយសកល flush ruleset គ្រប់គ្រង, រត់ systemctl restart cve-2026-98432 ក្រោយមក។

សំខាន់៖ កុំអនុវត្តច្បាប់នេះលើបណ្តាញដោយប្រើស្លាក CIPSO (SELinux ឬ Smack NetLabel) — ជម្រើស IP ត្រូវបានប្រើជាធម្មតានៅទីនោះ។ ប្រសិនបើម៉ាស៊ីនមេរបស់អ្នកបញ្ជូនចរាចរណ៍សម្រាប់ម៉ាស៊ីនផ្សេងទៀត ច្បាប់ក៏នឹងទម្លាក់កញ្ចប់ TCP របស់ពួកគេជាមួយជម្រើស IP ផងដែរ។

បិទ MPTCP ប្រសិនបើអ្នកមិនត្រូវការវា

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

ការកំណត់នេះគ្រាន់តែការពារ ថ្មី រន្ធ MPTCP ពីការបង្កើត។ សេវាកម្មដែលកំពុងដំណើរការរួចហើយនឹងបន្តស្តាប់តាមរយៈ MPTCP ដូច្នេះចាប់ផ្តើមសេវាកម្មនីមួយៗឡើងវិញដែលបានរាយបញ្ជីដោយ ss -lnMp ហើយត្រូវប្រាកដថាទិន្នផលរបស់វាឥឡូវនេះទទេ។

នៅលើ AlmaLinux ប្រព័ន្ធ MPTCP ត្រូវបានបិទតាមលំនាំដើម លុះត្រាតែអ្នកបើកវាដោយខ្លួនឯង។

បិទ MPTCP នៅក្នុងកម្មវិធី Go

សម្រាប់សេវាកម្មដែលបង្កើតឡើងជាមួយ Go 1.24 ឬថ្មីជាងនេះ អ្នកអាចបិទ MPTCP ជាមួយអថេរបរិស្ថាន។ ឧទាហរណ៍ សម្រាប់សេវាកម្មដែលហៅថា myservice:

systemctl edit myservice

បន្ថែម​ខាងក្រោម​ទៅ​ឯកសារ​ដែល​បើក៖

[Service]
Environment=GODEBUG=multipathtcp=0

បន្ទាប់មកចាប់ផ្តើមសេវាកម្មឡើងវិញ៖

systemctl restart myservice

ធ្វើបច្ចុប្បន្នភាពកាំរស្មីអ៊ិច

ប្រសិនបើម៉ាស៊ីនមេរបស់អ្នកដំណើរការ Xray សូមធ្វើបច្ចុប្បន្នភាពវាទៅ v26.10.31 ឬថ្មីជាងនេះ។ កំណែមុន v26.10.29 ត្រូវបានអ្នកអភិវឌ្ឍន៍របស់វាដកចេញ។ ការអាប់ដេតនេះបិទ MPTCP ប៉ុន្តែមិនជួសជុលខឺណែលទេ ដូច្នេះការអាប់ដេតខឺណែលនៅតែត្រូវបានទាមទារ។

ពិនិត្យមើលការកំណត់មួយទៀត

ផ្លូវ​កេងប្រវ័ញ្ច​ទីពីរ​ដែល​តូច​ចង្អៀត​តម្រូវ​ឱ្យ​មាន​ការ​បើក​ដំណើរការ​សំណើ​ផ្លាស់ទី។ វា​ត្រូវ​បាន​បិទ​តាម​លំនាំដើម — ត្រូវ​ប្រាកដ​ថា​វា​៖

sysctl net.ipv4.tcp_migrate_req

ពាក្យបញ្ជាគួរតែបោះពុម្ព 0.

ដាក់កម្រិតការចូលប្រើសេវាកម្មរបស់អ្នក

បិទច្រកជញ្ជាំងភ្លើងនីមួយៗដែលមិនចាំបាច់អាចភ្ជាប់បានពីអ៊ីនធឺណិត។ ប្រសិនបើអាចធ្វើទៅបាន សូមបើកសេវាកម្មរដ្ឋបាល — SSH ផ្ទាំងបញ្ជា មូលដ្ឋានទិន្នន័យ — សម្រាប់តែអាសយដ្ឋាន IP ដែលទុកចិត្តប៉ុណ្ណោះ។

ជំហានទី 4. បន្ទាប់ពីដំឡើងខឺណែលដែលបានជួសជុលរួច

1. ចាប់ផ្ដើមម៉ាស៊ីនមេឡើងវិញ ហើយប្រើពាក្យបញ្ជាពីជំហានទី 1 ដើម្បីបញ្ជាក់ថាខឺណែលដែលបានជួសជុលកំពុងដំណើរការ។
2. អ្នកអាចលុបច្បាប់បណ្ដោះអាសន្នចេញ៖
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. ប្រសិនបើអ្នកត្រូវការ MPTCP សូមស្ដារការកំណត់ឡើងវិញ៖ លុប /etc/sysctl.d/99-disable-mptcp.conf ហើយរត់ sysctl -w net.mptcp.enabled=1.

ប្រសិនបើមានអ្វីខុស

ប្រសិនបើម៉ាស៊ីនមេរបស់អ្នកមិនចាប់ផ្ដើមឡើងវិញបន្ទាប់ពីការអាប់ដេតខឺណែល សូមភ្ជាប់តាមរយៈកុងសូល VNC នៅក្នុងផ្ទាំងបញ្ជា ហើយជ្រើសរើសខឺណែលមុននៅក្នុងម៉ឺនុយចាប់ផ្ដើម។ ប្រសិនបើអ្នកមិនប្រាកដថាអ្នកអាចធ្វើវាដោយខ្លួនឯងបាន ឬត្រូវការជំនួយជាមួយនឹងការអាប់ដេត សូមទាក់ទងក្រុមគាំទ្ររបស់យើង។