Kritesch Schwachstelle am Linux-Kernel CVE-2026-98432: Wéi Dir Äre VPS iwwerpréift an aktualiséiert

Am Oktober 2026 gouf eng kritesch Schwachstelle, CVE-2026-98432 , am Linux-Kernel fonnt, déi mat 9.8 vun 10 op der CVSS-Skala bewäert gouf. Si beaflosst d'Behandlung vun akommenden IPv4 TCP-Verbindungen an erlaabt et engem Ugräifer ënner bestëmmte Konditiounen, Root-Zougang zu engem Server op Distanz ze kréien - ouni Passwuert an ouni datt den Administrateur eppes muss maachen.

Hei drënner fannt Dir wien betraff ass, wéi Dir Äre Server iwwerpréift a wéi Dir en schützt. All Kommandoen ginn als Root oder mat sudo.

D'Vulnerabilitéit kuerz

• Wat ass et: E Bug am Code, deen IPv4 TCP-Verbindungen opbaut, deen duerch e Race Condition verursaacht gouf. Den Ugräifer schéckt speziell handwierklech Paketen un all oppenen TCP-Port.
• Betroffene Kären: all Versioun zënter Linux 4.4, dat heescht praktesch all aktuell Distributioun.
• IPv6 ass net vum Haaptfehler betraff.
• Wéi reell d'Gefor ass: Anthropic Fuerscher hunn eng funktionéierend Exploit-Kette demonstréiert, déi bannent ongeféier 53 Minutten Root-Zougang op engem Server mat aktivéiertem Multipath TCP (MPTCP) kritt huet. Den Exploit-Code gouf nach net publizéiert.
• Attacken an der fräier Natur: Den 1. November 2026 gouf keng Ausbeutung gemellt. Dat ass e Grond fir roueg ze aktualiséieren, kee Grond fir et ze verréckelen.

Go-Servicer bréngen e separate Risiko mat sech. Zënter Go 1.24 lauschteren Serverprogrammer op Linux standardméisseg op Ports iwwer MPTCP, wa ëmmer de Kernel et erlaabt. En Administrateur weess vläicht net emol, datt säi Server sou Verbindungen akzeptéiert. Ënnert de populäre Programmer funktionéiert Xray op dës Manéier - seng Entwéckler hunn schonn eng Noutfallversioun erausbruecht, v26.10.31, déi MPTCP standardméisseg deaktivéiert.

All VPS bedreift säin eegene Kernel, dofir musst Dir de Kernel an Ärem Server selwer aktualiséieren. Mir aktualiséieren d'Virtualiséierungsknoten selwer.

Gëtt et eng Léisung fir Äre System

Status vum 1. November 2026. Bal all Dag kommen Verbesserungen eraus – kuckt d'Linken um Enn vun dësem Artikel fir den aktuellen Status.

Schrëtt 1. Iwwerpréift wéi ee Kernel Dir laaft

Fannt d'Versioun vum lafende Kernel eraus:

uname -r

D'Versiounsnummer eleng seet Iech näischt aus: Distributiounen réckportéieren Fixes an hir eege Kernelen ouni d'Basisversioun z'änneren. Et ass méi zouverlässeg de Kernel-Package-Changelog ze kontrolléieren - wann do d'CVE-Nummer steet, ass de Fix scho installéiert.

Debian an Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Op Debian, den uname -v De Kommando weist och déi komplett Pakversioun vum laafende Kernel: vergläicht se mat der Tabelle uewen.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Wann de Kommando näischt dréckt, ass de laafende Kernel vulnérabel.

Als nächst, kontrolléiert wéi eng Servicer Verbindungen iwwer MPTCP akzeptéieren. Server wéi dës waren d'Zil vun der demonstréierter Attack:

ss -lnMp

Eidel Ausgab bedeit, datt et keng MPTCP-Lauschterer gëtt.

Schrëtt 2. Installéiert de fixe Kernel

Maacht e Backup oder e Snapshot vun Ärem Server ier Dir de Kernel aktualiséiert.

Debian 12 an 13

Déi fixéiert Kären sinn am Sécherheetsrepository. Vergewëssert Iech, datt et aktivéiert ass:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Wann näischt fonnt gëtt, füügt d' security.debian.org Repository fir Är Versioun. Dann aktualiséiert de System:

apt update
apt full-upgrade
reboot

Ubuntu

Fixéiert Kernele sinn nach net verëffentlecht ginn. Kuckt no Updates:

apt update
apt list --upgradable | grep linux-image

Wann Äre Server mat Ubuntu Pro verbonnen ass, kënnt Dir de Reparaturplang kontrolléieren:

pro fix CVE-2026-98432 --dry-run

Soubal de Fix erauskomm ass, installéiert en a start nei:

apt update
apt full-upgrade
reboot

Bis dohin, gitt sécher datt Dir den temporäre Schutz aus Schrëtt 3 uwend.

AlmaLinux 8, 9, 10

Fixéiert Kernele sinn de Moment nëmmen am Testrepository verfügbar. Installéiert se wann Dir Iech domat op engem Produktiounsserver wuel fillt, a gitt sécher datt Dir e Snapshot maacht ier Dir aktualiséiert:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Nom Neistart, vergläichen uname -r mat de Versiounen an der Tabell uewen. Wann Dir léiwer keng Testpakete installéiere wëllt, setzt den temporäre Schutz an a waart bis de Fix am Haaptrepository erreecht gëtt.

Rocky Linux an aner RHEL-baséiert Systemer

Et gëtt nach keng Léisung. Dir kënnt drop oppassen mat:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Soubal de Fix erauskomm ass:

dnf update kernel
reboot

Nom Update: e Restart ass néideg

Den neie Kernel trëtt eréischt no engem Restart a Kraaft. Fir ze kontrolléieren ob een gebraucht gëtt:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Nom Neistart, widderhuelt d'Kontroll vu Schrëtt 1.

Schrëtt 3. Temporäre Schutz bis e fixe Kernel verfügbar ass

Dës Moossname reduzéieren de Risiko, awer ersetzen keen Kernel-Update.

Blockéiert d'Trigger-Pakete

Den Ugrëff benotzt TCP-Päcketen mat IP-Optiounen am IPv4-Header. Si erschéngen praktesch ni am normalen Traffic, an RFC 7126 recommandéiert schonn, se ze läschen. Déi folgend nftables-Regel läscht all ukommend IPv4 TCP-Päcketen mat Optiounen a beaflosst net IPv6, UDP oder ICMP. Si funktionéiert zesumme mat ufw a firewalld.

Installéiert nftables wann et nach net installéiert ass:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Erstellt d'Regeldatei:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Fir d'Regel no all Neistart erëmzestellen, erstellt e systemd Service:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Kontrolléiert ob d'Regel gelueden ass:

nft list table ip cve_2026_98432

Wann Dir den nftables Service mat engem globalen nei start flush ruleset Regel, lafen systemctl restart cve-2026-98432 duerno.

Wichteg: Dës Regel sollt net op Netzwierker benotzt ginn, déi CIPSO-Labels benotzen (SELinux oder Smack NetLabel) - IP-Optioune ginn do normalerweis benotzt. Wann Äre Server den Traffic fir aner Maschinnen routéiert, wäert d'Regel och hir TCP-Päcketen mat IP-Optiounen ewechloossen.

Deaktivéiert MPTCP wann Dir et net braucht

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Dës Astellung verhënnert nëmmen nei MPTCP-Sockets net erstallt ginn. Servicer, déi scho lafen, lauschteren weider iwwer MPTCP, also start all Servicer, déi opgezielt sinn, nei. ss -lnMp a gitt sécher datt säin Output elo eidel ass.

Op AlmaLinux ass MPTCP standardméisseg deaktivéiert, ausser Dir hutt et selwer aktivéiert.

MPTCP a Go-Programmer deaktivéieren

Fir Servicer, déi mat Go 1.24 oder méi spéit gebaut goufen, kënnt Dir MPTCP mat enger Ëmweltvariabel deaktivéieren. Zum Beispill, fir e Service mam Numm myservice:

systemctl edit myservice

Füügt folgendes an d'Datei bäi, déi sech opmécht:

[Service]
Environment=GODEBUG=multipathtcp=0

Dann de Service nei starten:

systemctl restart myservice

Röntgenbild aktualiséieren

Wann Äre Server Xray benotzt, aktualiséiert en op Versioun 26.10.31 oder méi spéit. Déi viregt Versioun, Versioun 26.10.29, gouf vun den Entwéckler zréckgezunn. Dësen Update deaktivéiert MPTCP, awer reparéiert de Kernel net, dofir ass e Kernel-Update ëmmer nach néideg.

Iwwerpréift nach eng Astellung

En zweeten, méi enken Ausnotzungswee erfuerdert d'Aktivéierung vun der Ufromigratioun. Standardméisseg ass et ausgeschalt - gitt sécher datt Dir dat maacht:

sysctl net.ipv4.tcp_migrate_req

De Kommando soll drécken 0.

Den Zougang zu Äre Servicer limitéieren

Maacht all Firewall-Port zou, deen net vum Internet aus erreechbar muss sinn. Wa méiglech, maacht administrativ Servicer - SSH, Kontrollpanelen, Datenbanken - nëmme fir vertrauenswierdeg IP-Adressen op.

Schrëtt 4. No der Installatioun vum fixe Kernel

1. Start de Server nei a benotzt d'Kommandoen aus Schrëtt 1 fir ze bestätegen, datt de fixéierte Kernel leeft.
2. Dir kënnt déi temporär Regel ewechhuelen:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Wann Dir MPTCP braucht, setzt d'Astellung erëm hier: läschen /etc/sysctl.d/99-disable-mptcp.conf a lafen sysctl -w net.mptcp.enabled=1.

Wann eppes falsch geet

Wann Äre Server no dem Kernel-Update net boot, verbënnt Iech iwwer d'VNC-Konsole am Kontrollpanel a wielt de viregten Kernel am Bootmenü. Wann Dir net sécher sidd, ob Dir dat selwer maache kënnt, oder Hëllef mam Update braucht, kontaktéiert eisen Support-Team.