Kritinis „Linux“ branduolio pažeidžiamumas CVE-2026-98432: Kaip patikrinti ir atnaujinti VPS

2026 m. spalį „Linux“ branduolyje buvo aptikta kritinė spraga CVE-2026-98432 , kuri pagal CVSS skalę buvo įvertinta 9.8 balo iš 10. Ji paveikia, kaip tvarkomi įeinantys IPv4 TCP ryšiai, ir tam tikromis sąlygomis leidžia užpuolikui nuotoliniu būdu gauti root prieigą prie serverio – be slaptažodžio ir jokių administratoriaus veiksmų.

Žemiau pateikiama, kam tai taikoma, kaip patikrinti serverį ir kaip jį apsaugoti. Visos komandos vykdomos kaip root arba su sudo.

Trumpai apie pažeidžiamumą

• Kas tai yra: „use-after-free“ klaida kode, kuris steigia IPv4 TCP ryšius, kurią sukelia lenktynių sąlyga. Užpuolikas siunčia specialiai sukurtus paketus į bet kurį atvirą TCP prievadą.
• Paveikti branduoliai: kiekviena versija nuo „Linux 4.4“, o tai reiškia praktiškai kiekvieną dabartinį distribuciją.
• IPv6 nėra paveiktas pagrindinės klaidos.
• Kiek reali grėsmė: Antropijos tyrėjai pademonstravo veikiančią spragų grandinę, kuri per maždaug 53 minutes gavo root prieigą serveryje su įjungtu „Multipath TCP“ (MPTCP). Sprogimų kodas nebuvo paskelbtas.
• Išpuoliai gamtoje: 2026 m. lapkričio 1 d. duomenimis, apie jokį išnaudojimą nepranešta. Tai priežastis ramiai atnaujinti informaciją, o ne atidėlioti.

„Go“ paslaugos kelia atskirą riziką. Nuo „Go 1.24“ versijos serverių programos „Linux“ sistemose pagal numatytuosius nustatymus klausosi prievadų per MPTCP, kai tik branduolys tai leidžia. Administratorius gali net nežinoti, kad jo serveris priima tokius ryšius. Tarp populiarių programų „Xray“ veikia tokiu būdu – jos kūrėjai jau išleido avarinę versiją, v26.10.31, kuri pagal numatytuosius nustatymus išjungia MPTCP.

Kiekvienas VPS veikia su savo branduoliu, todėl jums reikia patiems atnaujinti branduolį savo serveryje. Mes patys atnaujiname virtualizacijos mazgus.

Ar yra jūsų sistemai pataisymas?

Būsena nuo 2026 m. lapkričio 1 d. Pataisymai pateikiami beveik kasdien – dabartinę būseną galite pamatyti spustelėję nuorodas šio straipsnio pabaigoje.

1 veiksmas. Patikrinkite, kurį branduolį naudojate

Sužinokite veikiančio branduolio versiją:

uname -r

Vien versijos numeris nieko nepasako: platinamos versijos perkelia pataisymus į savo branduolius nekeisdamos bazinės versijos. Patikimiau patikrinti branduolio paketo pakeitimų žurnalą – jei jame minimas CVE numeris, pataisymas jau įdiegtas.

Debian ir Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Debian'e uname -v komanda taip pat rodo pilną veikiančio branduolio paketo versiją: palyginkite ją su aukščiau pateikta lentele.

„AlmaLinux“, „Rocky Linux“, RHEL, „Oracle Linux“:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Jei komanda nieko nespausdina, veikiantis branduolys yra pažeidžiamas.

Toliau patikrinkite, kurios paslaugos priima ryšius per MPTCP. Tokie serveriai buvo demonstruojamos atakos taikinys:

ss -lnMp

Tuščia išvestis reiškia, kad nėra MPTCP klausytojų.

2 veiksmas. Įdiekite pataisytą branduolį

Prieš atnaujindami branduolį, padarykite serverio atsarginę kopiją arba momentinę kopiją.

Debian 12 ir 13

Pataisyti branduoliai yra saugumo saugykloje. Įsitikinkite, kad ji įjungta:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Jei nieko nerandama, pridėkite security.debian.org saugyklą savo leidimui. Tada atnaujinkite sistemą:

apt update
apt full-upgrade
reboot

ubuntu

Pataisyti branduoliai dar nebuvo išleisti. Patikrinkite atnaujinimus:

apt update
apt list --upgradable | grep linux-image

Jei jūsų serveris prijungtas prie „Ubuntu Pro“, galite patikrinti taisymo planą:

pro fix CVE-2026-98432 --dry-run

Kai pataisa bus išleista, įdiekite ją ir paleiskite kompiuterį iš naujo:

apt update
apt full-upgrade
reboot

Iki tol būtinai pritaikykite laikiną apsaugą nuo 3 veiksmo.

AlmaLinux 8, 9, 10

Pataisyti branduoliai šiuo metu pasiekiami tik testavimo saugykloje. Įdiekite juos, jei galite tai daryti gamybinėje aplinkoje, ir prieš atnaujindami būtinai padarykite momentinę kopiją:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Po perkrovimo palyginkite uname -r su aukščiau esančioje lentelėje pateiktomis versijomis. Jei nenorite diegti testavimo paketų, pritaikykite laikiną apsaugą ir palaukite, kol pataisymas pasieks pagrindinę saugyklą.

„Rocky Linux“ ir kitos RHEL pagrindu sukurtos sistemos

Kol kas nėra pataisymo. Galite ieškoti jo naudodami:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Kai pataisa bus išleista:

dnf update kernel
reboot

Po atnaujinimo: reikia paleisti iš naujo

Naujas branduolys įsigalioja tik po perkrovimo. Norėdami patikrinti, ar jo reikia:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Po perkrovimo pakartokite patikrinimą nuo 1 veiksmo.

3 veiksmas. Laikina apsauga, kol bus pasiektas pataisytas branduolys

Šios priemonės sumažina riziką, bet nepakeičia branduolio atnaujinimo.

Blokuokite trigerinius paketus

Ataka naudoja TCP paketus su IP parinktimis IPv4 antraštėje. Jie praktiškai niekada nepasirodo įprastame sraute, o RFC 7126 jau rekomenduoja juos atmesti. Žemiau pateikta „nftables“ taisyklė atmeta visus gaunamus IPv4 TCP paketus su parinktimis ir neturi įtakos IPv6, UDP ar ICMP. Ji veikia kartu su ufw ir firewalld.

Įdiekite „nftables“, jei jis dar neįdiegtas:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Sukurkite taisyklių failą:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Norėdami, kad taisyklė būtų atkurta po kiekvieno perkrovimo, sukurkite „systemd“ paslaugą:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Patikrinkite, ar taisyklė įkelta:

nft list table ip cve_2026_98432

Jei paleisite „nftables“ paslaugą iš naujo naudodami visuotinį flush ruleset valdyti, bėgti systemctl restart cve-2026-98432 paskui.

Svarbu: netaikykite šios taisyklės tinkluose, naudojančiuose CIPSO žymas („SELinux“ arba „Smack NetLabel“) – ten IP parinktys naudojamos įprastai. Jei jūsų serveris nukreipia srautą į kitus kompiuterius, taisyklė taip pat atmes jų TCP paketus su IP parinktimis.

Išjunkite MPTCP, jei jo nereikia

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Šis nustatymas tik apsaugo nuo Naujas produktas MPTCP lizdų kūrimas. Jau veikiančios paslaugos ir toliau klausysis per MPTCP, todėl paleiskite iš naujo kiekvieną paslaugą, nurodytą prie ss -lnMp ir įsitikinkite, kad jo išvestis dabar tuščia.

„AlmaLinux“ sistemoje MPTCP pagal numatytuosius nustatymus yra išjungtas, nebent jį įjungėte patys.

Išjungti MPTCP „Go“ programose

Paslaugoms, sukurtoms naudojant „Go 1.24“ ar naujesnę versiją, galite išjungti MPTCP naudodami aplinkos kintamąjį. Pavyzdžiui, paslaugai, vadinamai myservice:

systemctl edit myservice

Į atsidariusį failą pridėkite šiuos duomenis:

[Service]
Environment=GODEBUG=multipathtcp=0

Tada paleiskite paslaugą iš naujo:

systemctl restart myservice

Atnaujinti rentgenogramą

Jei jūsų serveryje veikia „Xray“, atnaujinkite jį į 26.10.31 arba naujesnę versiją. Ankstesnę versiją, 26.10.29, kūrėjai atšaukė. Šis atnaujinimas išjungia MPTCP, bet neištaiso branduolio, todėl branduolio atnaujinimas vis tiek reikalingas.

Patikrinkite dar vieną nustatymą

Antram, siauresniam išnaudojimo keliui reikia įjungti užklausų perkėlimą. Pagal numatytuosius nustatymus ši funkcija yra išjungta – įsitikinkite, kad ji įjungta:

sysctl net.ipv4.tcp_migrate_req

Komanda turėtų atspausdinti 0.

Apriboti prieigą prie savo paslaugų

Uždarykite visus užkardos prievadus, kurių nereikia pasiekti iš interneto. Jei įmanoma, administravimo paslaugas – SSH, valdymo skydus, duomenų bazes – atidarykite tik patikimiems IP adresams.

4 veiksmas. Įdiegus pataisytą branduolį

1. Perkraukite serverį ir naudokite 1 veiksmo komandas, kad patvirtintumėte, jog veikia pataisytas branduolys.
2. Galite pašalinti laikinąją taisyklę:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Jei jums reikia MPTCP, atkurkite nustatymą: ištrinkite /etc/sysctl.d/99-disable-mptcp.conf ir paleisk sysctl -w net.mptcp.enabled=1.

Jei kas nors negerai

Jei jūsų serveris neįsikrauna po branduolio atnaujinimo, prisijunkite per VNC konsolę valdymo skydelyje ir įkrovos meniu pasirinkite ankstesnį branduolį. Jei nesate tikri, ar galite tai padaryti patys, arba jums reikia pagalbos atnaujinant, susisiekite su mūsų palaikymo komanda.