Lawaziya Kernelê Linuxê ya Krîtîk CVE-2026-98432: Meriv Çawa VPS-ya Xwe Kontrol Dike û Nûve Dike

Di Cotmeha 2026an de, di kernela Linuxê de qelsiyeke krîtîk bi navê CVE-2026-98432 hat dîtin, ku li gorî pîvana CVSSê ji 10an 9.8 stêrk wergirt. Ew bandorê li ser awayê birêvebirina girêdanên IPv4 TCP yên hatinî dike û di hin mercan de dihêle ku êrîşkar ji dûr ve gihîştina root a serverekê bi dest bixe - bêyî şîfre û bêyî ku ji rêvebir çalakiyek hewce bike.

Li jêr tê diyarkirin ka kî bandor lê dibe, meriv çawa servera xwe kontrol dike û meriv çawa wê diparêze. Hemû ferman wekî root an jî bi sudo.

Kurteya bêserûberiyê

• Ew çi ye: çewtiyek di kodê de ku girêdanên TCP-ya IPv4 saz dike, ji ber şertek pêşbaziyê çêdibe. Êrîşkar pakêtên taybetî hatine çêkirin dişîne her porta TCP-ya vekirî.
• Kernelên bandorkirî: her guhertoyek ji Linux 4.4 vir ve, ku tê vê wateyê ku hema hema her belavkirina heyî.
• IPv6 Ji hêla xeletiya sereke ve nayê bandor kirin.
• Tehdîd çiqas rast e: Lêkolînerên Antropîk zincîreke îstismarê ya dixebite nîşan dan ku di nav nêzîkî 53 hûrdeman de li ser serverek bi Multipath TCP (MPTCP) çalakkirî gihîştina root bi dest xist. Koda îstismarê nehatiye weşandin.
• Êrîşên li çolê: heta 1ê Mijdara 2026an, ti îstismar nehatiye ragihandin. Ev sedemek e ku meriv bi aramî nûve bike, ne sedemek e ku ew were paşxistin.

Xizmetên Go xetereyek cuda hildigirin. Ji Go 1.24 vir ve, bernameyên serverê li ser Linuxê her gava ku kernel destûrê dide, bi xweber bi rêya MPTCP-ê li portan guhdarî dikin. Dibe ku rêveberek jî nizanibe ku servera wan girêdanên weha qebûl dike. Di nav bernameyên populer de, Xray bi vî rengî dixebite - pêşdebirên wê berê guhertoyek awarte, v26.10.31, berdane, ku MPTCP-ê bi xweber neçalak dike.

Her VPS kernela xwe dimeşîne, ji ber vê yekê hûn hewce ne ku kernela di hundurê servera xwe de bi xwe nûve bikin. Em girêkên sanalkirinê bi xwe nûve dikin.

Ma çareseriyek ji bo sîstema we heye?

Rewş heta 1ê Mijdara 2026an. Rastkirin hema hema rojane tên - ji bo rewşa heyî lînkên di dawiya vê gotarê de kontrol bikin.

Gav 1. Kontrol bike ka tu kîjan kernelê dixebitînî

Guhertoya kernel-a dixebite bibîne:

uname -r

Tenê hejmara guhertoyê tiştekî ji te re nabêje: belavkirin bêyî guhertina guhertoya bingehîn, sererastkirinên di nav kernelên xwe de vediguhezînin. Kontrolkirina guhertinên pakêta kernelê pêbawertir e - heke ew hejmara CVE behs bike, çareserî jixwe sazkirî ye.

Debian û Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Li ser Debianê, uname -v ferman di heman demê de guhertoya tevahî ya pakêtê ya kernela xebitandinê nîşan dide: wê bi tabloya jorîn re bidin ber hev.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Heke ferman tiştek çap neke, kernela dixebite qels e.

Piştre, kontrol bikin ka kîjan xizmet girêdanên bi rêya MPTCP qebûl dikin. Di êrîşa nîşankirî de serverên wekî van bûn hedef:

ss -lnMp

Derana vala tê vê wateyê ku guhdarên MPTCP tune ne.

Gav 2. Kernela sabît saz bike

Berî nûvekirina kernelê, ji servera xwe kopiyek an wêneyek hilanînê bigirin.

Debian 12 û 13

Kernelên sabît di depoya ewlehiyê de ne. Piştrast bike ku ew çalak e:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Heke tiştek neyê dîtin, lê zêde bike security.debian.org depoya ji bo guhertoya xwe. Dûv re pergalê nûve bikin:

apt update
apt full-upgrade
reboot

Ubuntu

Kernelên rastkirî hîn nehatine berdan. Li nûvekirinan kontrol bikin:

apt update
apt list --upgradable | grep linux-image

Heke servera we bi Ubuntu Pro ve girêdayî ye, hûn dikarin plana çareseriyê kontrol bikin:

pro fix CVE-2026-98432 --dry-run

Dema ku sererastkirin hate berdan, wê saz bikin û ji nû ve bidin destpêkirin:

apt update
apt full-upgrade
reboot

Heta wê demê, pê ewle bin ku hûn parastina demkî ji Gava 3-an bicîh tînin.

AlmaLinux 8, 9, 10

Kernelên sabît niha tenê di depoya ceribandinê de hene. Heke hûn dikarin li ser serverek hilberînê wan saz bikin, wan saz bikin, û berî nûvekirinê pê ewle bin ku we wêneyek kişandiye:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Piştî ji nû ve destpêkirinê, bidin ber hev uname -r bi guhertoyên di tabloya jorîn de. Heke hûn naxwazin pakêtên ceribandinê saz bikin, parastina demkî bicîh bînin û li bendê bin ku çareserî bigihîje depoya sereke.

Rocky Linux û pergalên din ên li ser bingeha RHEL-ê

Hîn çareseriyek tune ye. Hûn dikarin bi van awayan li bendê bin:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Dema ku sererastkirin hate berdan:

dnf update kernel
reboot

Piştî nûvekirinê: ji nû ve destpêkirin hewce ye

Kernela nû tenê piştî ji nû ve destpêkirinê bandorê dike. Ji bo kontrolkirina ka pêdivî bi kernelek heye:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Piştî ji nû ve destpêkirinê, kontrolê ji Gava 1-ê dubare bikin.

Gava 3. Parastina demkî heta ku kernelek sabît peyda bibe

Ev tedbîr rîskê kêm dikin lê şûna nûvekirina kernelê nagirin.

Pakêtên tetikandinê asteng bike

Êrîş pakêtên TCP bi vebijarkên IP-ê di sernavê IPv4-ê de bikar tîne. Ew di trafîka normal de hema hema qet xuya nakin, û RFC 7126 jixwe pêşniyar dike ku ew werin avêtin. Qaîdeya nftables-ê ya li jêr hemî pakêtên TCP-ê yên IPv4-ê yên bi vebijarkan vedişêre û bandorê li IPv6, UDP an ICMP-ê nake. Ew li kêleka ufw û firewalld-ê dixebite.

Heke nftables berê nehatibe sazkirin saz bike:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Pelê qaîdeyê biafirîne:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Ji bo ku qaîde piştî her ji nû ve destpêkirinê were sererast kirin, karûbarek systemd biafirînin:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Kontrol bike ka qaîde hatiye barkirin:

nft list table ip cve_2026_98432

Heke hûn xizmeta nftables bi gerdûnî ji nû ve bidin destpêkirin flush ruleset hukim bike, bimeşe systemctl restart cve-2026-98432 paşan.

Girîng: vê qaîdeyê li ser torên ku etîketên CIPSO (SELinux an Smack NetLabel) bikar tînin bikar neynin - Vebijarkên IP-ê li wir bi gelemperî têne bikar anîn. Ger servera we trafîkê ji bo makîneyên din rêve bibe, qaîde dê pakêtên TCP-ê yên bi vebijarkên IP-ê jî bavêje.

Heke hûn ne hewce ne MPTCP-ê neçalak bikin

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ev mîheng tenê rê li ber nşh Soketên MPTCP ji afirandinê. Xizmetên ku jixwe dixebitin dê bi rêya MPTCP-ê guhdarî bikin, ji ber vê yekê her xizmeta ku ji hêla navnîşkirî ve hatî navnîş kirin ji nû ve bidin destpêkirin. ss -lnMp û piştrast be ku derana wê niha vala ye.

Li ser AlmaLinux, MPTCP bi xweber neçalak e heya ku hûn bi xwe çalak nekin.

MPTCP di bernameyên Go de neçalak bike

Ji bo xizmetên ku bi Go 1.24 an guhertoyên nûtir hatine çêkirin, hûn dikarin MPTCP-ê bi guhêrbarek jîngehê neçalak bikin. Mînakî, ji bo xizmetek bi navê myservice:

systemctl edit myservice

Li pelê ku vedike wiha zêde bike:

[Service]
Environment=GODEBUG=multipathtcp=0

Piştre xizmetê ji nû ve dest pê bike:

systemctl restart myservice

Xray-ê Nûve Bike

Eger servera te Xray bikar tîne, wê nûve bike bo v26.10.31 an jî nûtir. Guhertoya berê, v26.10.29, ji hêla pêşdebirên wê ve hatiye vekişandin. Ev nûvekirin MPTCP-ê neçalak dike lê kernelê rast nake, ji ber vê yekê nûvekirina kernelê hîn jî pêwîst e.

Mîhengek din kontrol bike

Riyeke duyemîn a îstismarkirinê ya tengtir hewce dike ku koçberiya daxwazan çalak be. Bi xwerû ve neçalak e - piştrast bin ku ew hatiye kirin:

sysctl net.ipv4.tcp_migrate_req

Ferman divê çap bike 0.

Gihîştina xizmetên xwe sînordar bike

Hemû porta dîwarê agirî ya ku ne hewce ye ku ji înternetê bigihîje wan bigire. Li cihê ku gengaz be, xizmetên rêveberiyê - SSH, panelên kontrolê, databasan - tenê ji bo navnîşanên IP-yên pêbawer vekin.

Gava 4. Piştî sazkirina kernela sabît

1. Serverê ji nû ve bide destpêkirin û fermanên ji Gava 1-ê bikar bîne da ku piştrast bikî ku kernela sabît dixebite.
2. Hûn dikarin qaîdeya demkî jê bibin:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Heke hûn hewceyê MPTCP-ê ne, mîhengê vegerînin: jêbirin /etc/sysctl.d/99-disable-mptcp.conf û bezîn sysctl -w net.mptcp.enabled=1.

Ger tiştek xelet bibe

Eger servera te piştî nûvekirina kernelê boot neke, bi rêya konsola VNC ya di panela kontrolê de ve girêbide û di menûya bootê de kernela berê hilbijêre. Eger tu ne piştrast î ku tu dikarî vê yekê bi xwe bikî, an jî ji bo nûvekirinê hewceyê alîkariyê bî, bi tîma piştgiriyê ya me re têkilî daynin.