CVE-2026-98432: Linux ядросунун маанилүү аялуулугу: VPSти кантип текшерип жана жаңыртуу керек

2026-жылдын октябрь айында Linux ядросунда CVE-2026-98432 аттуу маанилүү алсыздык табылган, ал CVSS шкаласы боюнча 10дон 9.8 баллга бааланган. Ал кирүүчү IPv4 TCP туташууларынын кандайча иштетилерине таасир этет жана белгилүү бир шарттарда чабуулчуга серверге алыстан — сырсөзсүз жана администратордон эч кандай аракет талап кылынбастан — root мүмкүнчүлүгүн алууга мүмкүндүк берет.

Төмөндө ким жабыркаганы, сервериңизди кантип текшерүү жана аны кантип коргоо керектиги көрсөтүлгөн. Бардык буйруктар root же анын жардамы менен аткарылат sudo.

Кыскача айтканда, алсыздык

• Эмне бул: жарыш шартынан улам келип чыккан IPv4 TCP байланыштарын орноткон коддогу колдонулгандан кийинки акысыз ката. Чабуулчу атайын жасалган пакеттерди каалаган ачык TCP портуна жөнөтөт.
• Таасирленген данектер: Linux 4.4төн берки ар бир версия, демек, учурдагы дээрлик бардык дистрибутивдер.
• IPv6 негизги зыянкечтин таасири астында калбайт.
• Коркунуч канчалык реалдуу: Антропиялык изилдөөчүлөр Multipath TCP (MPTCP) иштетилген серверде болжол менен 53 мүнөттүн ичинде root мүмкүнчүлүгүн алган иштеп жаткан эксплойт чынжырын көрсөтүштү. Эксплойт коду жарыялана элек.
• Жапайы жаратылыштагы кол салуулар: 2026-жылдын 1-ноябрына карата эч кандай эксплуатация жөнүндө кабарланган жок. Бул аны кийинкиге калтырууга себеп эмес, токтоо мамиле менен жаңыртууга себеп.

Go кызматтары өзүнчө тобокелчиликке алып келет. Go 1.24 версиясынан бери Linux'тагы сервер программалары ядро ​​уруксат берген сайын демейки шартта MPTCP аркылуу портторду угушат. Администратор өзүнүн сервери мындай байланыштарды кабыл алаарын билбеши да мүмкүн. Популярдуу программалардын арасында Xray ушундайча иштейт — аны иштеп чыгуучулар MPTCP'ни демейки шартта өчүргөн v26.10.31 авариялык версиясын чыгарышкан.

Ар бир VPS өзүнүн ядросун иштетет, андыктан сервериңиздин ичиндеги ядрону өзүңүз жаңыртышыңыз керек. Виртуалдаштыруу түйүндөрүн өзүбүз жаңыртабыз.

Сиздин системаңыз үчүн оңдоо барбы?

2026-жылдын 1-ноябрына карата абалы. Оңдоолор дээрлик күн сайын түшүп жатат — учурдагы абалын билүү үчүн ушул макаланын аягындагы шилтемелерди караңыз.

1-кадам. Кайсы ядрону иштетип жатканыңызды текшериңиз

Иштеп жаткан ядронун версиясын билип алыңыз:

uname -r

Версия номеринин өзү эле эч нерсе айтпайт: дистрибуциялардын резервдик порту базалык версиясын өзгөртпөстөн өздөрүнүн ядролоруна оңдоолор киргизет. Ядро пакетинин өзгөрүүлөр журналын текшерүү ишенимдүүрөөк — эгерде анда CVE номери айтылса, анда оңдоо мурунтан эле орнотулган.

Debian жана Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Debian'да, uname -v команда ошондой эле иштеп жаткан ядронун толук пакет версиясын көрсөтөт: аны жогорудагы таблица менен салыштырыңыз.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Эгерде буйрук эч нерсе чыгарбаса, анда иштеп жаткан ядро ​​​​алсыз.

Андан кийин, кайсы кызматтар MPTCP аркылуу туташууларды кабыл алаарын текшериңиз. Көрсөтүлгөн чабуулда ушул сыяктуу серверлер бутасы болгон:

ss -lnMp

Бош чыгыш MPTCP угуучулары жок дегенди билдирет.

2-кадам. Бекитилген ядрону орнотуңуз

Ядрону жаңыртуудан мурун сервериңиздин камдык көчүрмөсүн же сүрөтүн алыңыз.

Debian 12 жана 13

Бекитилген ядролор коопсуздук репозиторийинде. Анын иштетилгенин текшериңиз:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Эгер эч нерсе табылбаса, кошуңуз security.debian.org чыгарылышыңыз үчүн репозиторий. Андан кийин системаны жаңыртыңыз:

apt update
apt full-upgrade
reboot

Ubuntu

Оңдолгон ядролор азырынча чыгарыла элек. Жаңыртууларды текшериңиз:

apt update
apt list --upgradable | grep linux-image

Эгер сервериңиз Ubuntu Pro'го туташкан болсо, оңдоо планын текшере аласыз:

pro fix CVE-2026-98432 --dry-run

Оңдоо чыккандан кийин, аны орнотуп, кайра жүктөңүз:

apt update
apt full-upgrade
reboot

Ал убакка чейин, 3-кадамдан баштап убактылуу коргоону колдонууну унутпаңыз.

AlmaLinux 8, 9, 10

Оңдолгон ядролор учурда сыноо репозиторийинде гана жеткиликтүү. Эгер сиз өндүрүш серверинде орнотууга ыңгайлуу болсоңуз, аларды орнотуңуз жана жаңыртуудан мурун сүрөткө тартып алууну унутпаңыз:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Кайра жүктөгөндөн кийин салыштырып көрүңүз uname -r жогорудагы таблицадагы версиялар менен. Эгер сиз сыноо пакеттерин орноткуңуз келбесе, убактылуу коргоону колдонуп, оңдоонун негизги репозиторийге жетишин күтүңүз.

Rocky Linux жана башка RHEL негизиндеги системалар

Азырынча эч кандай оңдоо жок. Аны төмөнкүлөр менен байкап турсаңыз болот:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Оңдоо чыгарылгандан кийин:

dnf update kernel
reboot

Жаңыртуудан кийин: кайра жүктөө талап кылынат

Жаңы ядро ​​кайра жүктөөдөн кийин гана күчүнө кирет. Анын керек экенин текшерүү үчүн:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Кайра жүктөгөндөн кийин, 1-кадамдан баштап текшерүүнү кайталаңыз.

3-кадам. Бекитилген ядро ​​​​пайда болгонго чейин убактылуу коргоо

Бул чаралар тобокелдикти азайтат, бирок ядрону жаңыртуунун ордун баса албайт.

Триггер пакеттерин бөгөттөө

Чабуул IPv4 аталышында IP параметрлери бар TCP пакеттерин колдонот. Алар кадимки трафикте дээрлик эч качан пайда болбойт жана RFC 7126 аларды алып салууну сунуштайт. Төмөндөгү nftables эрежеси бардык кирүүчү IPv4 TCP пакеттерин параметрлери бар алып салат жана IPv6, UDP же ICMPге таасир этпейт. Ал ufw жана firewalld менен бирге иштейт.

Эгер nftables орнотула элек болсо, аны орнотуңуз:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Эреже файлын түзүңүз:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Ар бир кайра жүктөөдөн кийин эрежени калыбына келтирүү үчүн, systemd кызматын түзүңүз:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Эреженин жүктөлгөнүн текшериңиз:

nft list table ip cve_2026_98432

Эгер сиз nftables кызматын глобалдык менен кайра иштетсеңиз flush ruleset башкаруу, чуркоо systemctl restart cve-2026-98432 андан кийин.

Маанилүү: бул эрежени CIPSO энбелгилерин (SELinux же Smack NetLabel) колдонгон тармактарга колдонбоңуз — ал жерде IP параметрлери кадимкидей колдонулат. Эгерде сиздин сервериңиз трафикти башка машиналар үчүн багыттаса, эреже алардын TCP пакеттерин IP параметрлери менен кошо таштайт.

Эгер сизге MPTCP керек болбосо, аны өчүрүңүз

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Бул жөндөө гана тоскоолдук кылат жаңы MPTCP сокеттери түзүлбөй жатат. Мурунтан эле иштеп жаткан кызматтар MPTCP аркылуу угууну улантат, андыктан тизмеленген ар бир кызматты өчүрүп күйгүзүңүз ss -lnMp жана анын чыгышы азыр бош экенин текшериңиз.

AlmaLinux'та MPTCP демейки шартта өчүрүлгөн, эгер сиз аны өзүңүз иштетпесеңиз.

Go программаларында MPTCP'ти өчүрүү

Go 1.24 же андан кийинки версиясы менен курулган кызматтар үчүн, сиз MPTCPди чөйрө өзгөрмөсү менен өчүрө аласыз. Мисалы, аталган кызмат үчүн myservice:

systemctl edit myservice

Ачылган файлга төмөнкүлөрдү кошуңуз:

[Service]
Environment=GODEBUG=multipathtcp=0

Андан кийин кызматты кайра иштетиңиз:

systemctl restart myservice

Рентгенди жаңыртуу

Эгер сервериңиз Xray иштетсе, аны v26.10.31 же андан кийинки версиясына жаңыртыңыз. Мурунку версиясы, v26.10.29, аны иштеп чыгуучулар тарабынан алынып салынган. Бул жаңыртуу MPTCPди өчүрөт, бирок ядрону оңдобойт, андыктан ядрону жаңыртуу дагы эле талап кылынат.

Дагы бир жөндөөнү текшериңиз

Экинчи, тар эксплуатация жолу суроо-талаптарды көчүрүүнү иштетүүнү талап кылат. Ал демейки шартта өчүрүлгөн — муну текшериңиз:

sysctl net.ipv4.tcp_migrate_req

Буйрук басып чыгарылышы керек 0.

Кызматтарыңызга кирүүнү чектөө

Интернеттен кирүүгө мүмкүн болбогон ар бир брандмауэр портун жабыңыз. Мүмкүн болгон жерде, административдик кызматтарды — SSH, башкаруу панелдери, маалымат базаларын — ишенимдүү IP даректерге гана ачыңыз.

4-кадам. Бекитилген ядрону орноткондон кийин

1. Серверди өчүрүп-күйгүзүп, 1-кадамдагы буйруктарды колдонуп, бекитилген ядронун иштеп жатканын ырастаңыз.
2. Убактылуу эрежени алып салсаңыз болот:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Эгер сизге MPTCP керек болсо, жөндөөнү калыбына келтириңиз: жок кылуу /etc/sysctl.d/99-disable-mptcp.conf жана чуркоо sysctl -w net.mptcp.enabled=1.

бир нерсе туура эмес болсо

Эгерде сервериңиз ядро ​​жаңыртылгандан кийин жүктөлбөсө, башкаруу панелиндеги VNC консолу аркылуу туташып, жүктөө менюсунан мурунку ядрону тандаңыз. Эгер муну өзүңүз жасай алаарыңызга ишенбесеңиз же жаңыртуу боюнча жардам керек болсо, биздин колдоо тобубузга кайрылыңыз.