Vulnerabilitas Critica Nuclei Linux CVE-2026-98432: Quomodo VPS Tuum Inspicere et Renovare

Mense Octobri anni 2026, vulnerabilitas critica, CVE-2026-98432 , in nucleo Linux inventa est, quae 9.8 ex 10 in scala CVSS aestimata est. Modum quo nexus IPv4 TCP ingressi tractantur afficit et, sub certis condicionibus, permittit aggressori accessum principalem (root) ad servitorem remote adipisci — nulla tessera et nulla actione ab administratore requisita.

Infra scriptum est quis afficiatur, quomodo servum tuum inspiciatur et quomodo protegatur. Omnia mandata vel ut radix vel cum... exsequuntur. sudo.

Vulnerabilitas in brevi

• Quid est: Vitium "use-after-free" in codice qui nexus TCP IPv4 constituit, condicione certaminis causatum. Aggressor fasciculos specialiter fabricatos ad quemlibet portum TCP apertum mittit.
• Grana affecta: omnis versio ab Linux 4.4, quod significat fere omnem distributionem hodiernam.
• IPv6 vitio principali non afficitur.
• Quam vera sit minatio: Investigatores anthropici seriem exploitorum functionalem demonstraverunt quae accessum principalem (root) in servo cum Multipath TCP (MPTCP) activo intra circiter 53 minutas adepta est. Codex exploitorum nondum publicatus est.
• Impetus in fera natura: Die Kalendis Novembribus anni 2026, nulla abusio nuntiata est. Haec causa est ad renovandum placide, non ad differendum.

Servitia Go periculum separatum ferunt. Ab Go 1.24, programmata servi in ​​Linux portus per MPTCP auscultant per default, quotiescumque nucleus permittit. Administrator fortasse nescit quidem suum servitorem tales conexiones accipere. Inter programmata popularia, Xray hoc modo operatur — eius artifices iam versionem extraordinariam, v26.10.31, emiserunt, quae MPTCP per default inactivat.

Quisque VPS suum proprium nucleum habet, ergo nucleum intra servum tuum ipse renovare debes. Nos ipsi nodos virtualizationis renovamus.

Estne remedium systemati tuo?

Status ex Kalendis Novembribus anni MMXXVI. Emendationes fere quotidie adveniunt — nexus ad finem huius articuli inspice pro statu hodierno.

Gradus 1. Inspice quem nucleum curris.

Invenire versionem nuclei currentis:

uname -r

Numerus versionis solus nihil tibi indicat: distributiones correctiones in proprios nucleos retroferunt sine mutatione versionis fundamentalis. Certius est inspicere indicem mutationum fasciculi nuclei — si numerum CVE commemorat, correctio iam installata est.

Debian et Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

In Debian, uname -v Mandatum etiam versionem plenam fasciculi nuclei currentis ostendit: compara cum tabula supra.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Si mandatum nihil imprimit, nucleus currens vulnerabilis est.

Deinde, inspice quae officia conexiones per MPTCP accipiant. Servientes huiusmodi in impetu demonstrato scopum fuerunt:

ss -lnMp

Exitus vacua significat nullos auditores MPTCP esse.

Gradus 2. Nucleum fixum instala.

Antequam nucleum renoves, exemplar secundarium vel imaginem momenti servi tui cape.

Debian 12 et 13

Nuclei fixi in repositorio securitatis sunt. Fac ut activum sit:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Si nihil invenitur, adde security.debian.org repositorium pro versione tua. Deinde systema renova:

apt update
apt full-upgrade
reboot

Ubuntu

Nuclei correcti nondum editi sunt. Renovationes inspice:

apt update
apt list --upgradable | grep linux-image

Si servus tuus Ubuntu Pro coniunctus est, consilium emendationis inspicere potes:

pro fix CVE-2026-98432 --dry-run

Postquam correctum emissum est, id instala et computatrum denuo incipe:

apt update
apt full-upgrade
reboot

Interea, fac ut tutelam temporariam ex Gradu III adhibeas.

AlmaLinux 8, 9, 10

Nuclei fixi in praesenti tantum in repositorio probationum praesto sunt. Si tibi commodum est hoc in servo productionis facere, eos instala, et antequam renoves, imaginem photographicam capere memento:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Postquam iterum incipias, compara uname -r cum versionibus in tabula supra. Si fasciculos probationis instituere nolis, tutelam temporariam adhibe et exspecta dum correctio ad repositorium principale perveniat.

Rocky Linux et alia systemata RHEL-fundata

Nulla adhuc solutio est. Id observare potes cum:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Postquam emendatio edita est:

dnf update kernel
reboot

Post renovationem: recomputatio necessaria est

Novus nucleus tantum post recomputationem valet. Ad inspiciendum utrum unus necessarius sit:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Postquam computatrum denuo incipias, probationem a gradu primo itera.

Gradus 3. Protectio temporaria donec nucleus fixus praesto sit.

Hae mensurae periculum minuunt sed renovationem nuclei non substituunt.

Impedire fasciculos incitantes

Impetus fasciculos TCP cum optionibus IP in capite IPv4 utitur. Numquam fere in commeatu normali apparent, et RFC 7126 iam commendat ut eos deponant. Regula nftables infra omnes fasciculos TCP IPv4 advenientes cum optionibus deponit nec IPv6, UDP aut ICMP afficit. Una cum ufw et firewalld operatur.

`nftables`, si nondum installatum est, instala:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Fasciculum regulae crea:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Ut regula post singulas resarciationes restituatur, servitium systemd crea:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Fac ut regula onusta sit:

nft list table ip cve_2026_98432

Si servitium nftables cum globali denuo incipis flush ruleset regere, currere systemctl restart cve-2026-98432 postea.

Magni momenti: hanc regulam in retibus inscriptiones CIPSO (SELinux vel Smack NetLabel) utentibus ne adhibeas — optiones IP ibi plerumque adhibentur. Si servus tuus commeatum ad alias machinas dirigit, regula etiam fasciculos TCP eorum cum optionibus IP demittet.

MPTCP inactiva si non opus est.

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Haec configuratio tantum impedit new Sockets MPTCP ne creentur. Servitia quae iam currunt per MPTCP auscultabunt, ergo omnia servitia ab enumerata iterum denuo incipienda sunt. ss -lnMp et fac ut output eius nunc vacuum sit.

In AlmaLinux, MPTCP per default inactivum est nisi tu ipse id activaveris.

MPTCP in programmatibus Go inactivare

Pro officiis cum Go 1.24 vel recentiore constructis, MPTCP cum variabili ambienti inactivare potes. Exempli gratia, pro officio quod "..." appellatur... myservice:

systemctl edit myservice

Haec ad fasciculum qui aperitur adde:

[Service]
Environment=GODEBUG=multipathtcp=0

Deinde servitium denuo incipe:

systemctl restart myservice

Renovatio radiographiae

Si servus tuus Xray utitur, eum ad v26.10.31 vel recentiorem renova. Versio prior, v26.10.29, a creatoribus suis retracta est. Haec renovatio MPTCP inhibet sed nucleum non corrigit, ergo renovatio nuclei adhuc requiritur.

Unum adhuc optionem inspice.

Altera via exploitationis, angustior, migrationem petitionum activam requirit. Haec via inactiva est per default — fac ut haec fiat:

sysctl net.ipv4.tcp_migrate_req

Mandatum imprimere debet 0.

Aditus ad officia tua restringe

Omnes portas muri ignis claude quae non necesse est ex interreti attingi. Ubi fieri potest, officia administrativa — SSH, tabulas moderatrices, bases datorum — tantum ad inscriptiones IP fidas aperi.

Gradus IV. Post nucleum fixum installatum

1. Servitorem denuo incipe et mandatis ex Gradu 1 utere ad confirmandum nucleum correctum currere.
2. Regulam temporariam removere potes:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Si MPTCP tibi opus est, optionem restitue: dele. /etc/sysctl.d/99-disable-mptcp.conf et procursu sysctl -w net.mptcp.enabled=1.

Si quid errat

Si servus tuus post renovationem nuclei non incipit, per consolatorium VNC in tabula moderatrice coniunge et nucleum priorem in indice incipiendi elige. Si non certus es te hoc ipsum facere posse, vel si auxilio cum renovatione eges, turmam nostram adiutoriam contange.