Kritiska Linux kodola ievainojamība CVE-2026-98432: Kā pārbaudīt un atjaunināt savu VPS

2026. gada oktobrī Linux kodolā tika atrasta kritiska ievainojamība CVE-2026-98432 , kurai CVSS skalā tika piešķirts 9.8 no 10 vērtējums. Tā ietekmē ienākošo IPv4 TCP savienojumu apstrādi un noteiktos apstākļos ļauj uzbrucējam attālināti iegūt root piekļuvi serverim — bez paroles un bez administratora iejaukšanās.

Tālāk ir norādīts, kurus tas skar, kā pārbaudīt serveri un kā to aizsargāt. Visas komandas tiek palaistas kā root vai ar sudo.

Īsumā par ievainojamību

• Kas tas ir: kodā esoša, pēc atbrīvošanas veiktas lietošanas kļūda, ko izraisa sacensības nosacījums. Uzbrucējs nosūta speciāli izstrādātas paketes uz jebkuru atvērtu TCP portu.
• Ietekmētie kodoli: katrā versijā kopš Linux 4.4, kas nozīmē praktiski katru pašreizējo izplatījumu.
• IPv6 neietekmē galvenā kļūda.
• Cik reāls ir drauds: Antropoloģiskie pētnieki demonstrēja darbojošos uzbrukuma ķēdi, kas aptuveni 53 minūtēs ieguva root piekļuvi serverī ar iespējotu Multipath TCP (MPTCP). Ekspluatācijas kods vēl nav publicēts.
• Uzbrukumi savvaļā: Līdz 2026. gada 1. novembrim nav ziņots par ekspluatāciju. Tas ir iemesls mierīgi atjaunināt informāciju, nevis atlikt to.

Go pakalpojumiem ir atsevišķs risks. Kopš Go 1.24 versijas serveru programmas Linux sistēmā pēc noklusējuma klausās portos, izmantojot MPTCP, kad vien kodols to atļauj. Administrators var pat nezināt, ka viņa serveris pieņem šādus savienojumus. Starp populārākajām programmām Xray darbojas šādi — tā izstrādātāji jau ir izlaiduši ārkārtas versiju v26.10.31, kas pēc noklusējuma atspējo MPTCP.

Katrs VPS darbina savu kodolu, tāpēc jums pašam ir jāatjaunina kodols serverī. Mēs paši atjauninām virtualizācijas mezglus.

Vai jūsu sistēmai ir risinājums?

Statuss uz 2026. gada 1. novembri. Labojumi tiek izlaisti gandrīz katru dienu — skatiet saites šī raksta beigās, lai uzzinātu pašreizējo statusu.

1. darbība. Pārbaudiet, kuru kodolu jūs izmantojat

Uzziniet darbojošā kodola versiju:

uname -r

Versijas numurs vien neko neizsaka: distributīvie risinājumi atjauno labojumus savos kodolos, nemainot bāzes versiju. Uzticamāk ir pārbaudīt kodola pakotnes izmaiņu žurnālu — ja tajā ir minēts CVE numurs, labojums jau ir instalēts.

Debian un Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Debian sistēmā uname -v komanda parāda arī pilno palaistā kodola pakotnes versiju: ​​salīdziniet to ar iepriekš redzamo tabulu.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Ja komanda neko neizvada, darbojošais kodols ir ievainojams.

Pēc tam pārbaudiet, kuri pakalpojumi pieņem savienojumus, izmantojot MPTCP. Šādi serveri bija demonstrētā uzbrukuma mērķis:

ss -lnMp

Tukša izvade nozīmē, ka nav MPTCP klausītāju.

2. darbība. Fiksētā kodola instalēšana

Pirms kodola atjaunināšanas izveidojiet servera dublējumu vai momentuzņēmumu.

Debian 12 un 13

Labotie kodoli atrodas drošības repozitorijā. Pārliecinieties, vai tas ir iespējots:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Ja nekas netiek atrasts, pievienojiet security.debian.org repozitoriju jūsu laidienam. Pēc tam atjauniniet sistēmu:

apt update
apt full-upgrade
reboot

Ubuntu

Labotie kodoli vēl nav izlaisti. Pārbaudiet atjauninājumus:

apt update
apt list --upgradable | grep linux-image

Ja jūsu serveris ir pievienots Ubuntu Pro, varat pārbaudīt labošanas plānu:

pro fix CVE-2026-98432 --dry-run

Kad labojums ir izlaists, instalējiet to un pārstartējiet datoru:

apt update
apt full-upgrade
reboot

Līdz tam laikam noteikti lietojiet pagaidu aizsardzību no 3. darbības.

AlmaLinux 8, 9, 10

Labotie kodoli pašlaik ir pieejami tikai testēšanas repozitorijā. Instalējiet tos, ja jūtaties ērti to darot ražošanas serverī, un pirms atjaunināšanas noteikti izveidojiet momentuzņēmumu:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Pēc pārstartēšanas salīdziniet uname -r ar iepriekš tabulā norādītajām versijām. Ja nevēlaties instalēt testēšanas pakotnes, lietojiet pagaidu aizsardzību un gaidiet, līdz labojums sasniegs galveno repozitoriju.

Rocky Linux un citas uz RHEL balstītas sistēmas

Pagaidām nav risinājuma. Varat to meklēt, izmantojot:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Kad labojums ir izlaists:

dnf update kernel
reboot

Pēc atjaunināšanas: nepieciešama pārstartēšana

Jaunais kodols stājas spēkā tikai pēc pārstartēšanas. Lai pārbaudītu, vai tāds ir nepieciešams:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Pēc pārstartēšanas atkārtojiet pārbaudi, sākot ar 1. darbību.

3. darbība. Pagaidu aizsardzība, līdz ir pieejams fiksēts kodols

Šie pasākumi samazina risku, bet neaizstāj kodola atjauninājumu.

Bloķējiet aktivizēšanas paketes

Uzbrukums izmanto TCP paketes ar IP opcijām IPv4 galvenē. Tās praktiski nekad neparādās parastajā datplūsmā, un RFC 7126 jau iesaka tās atmest. Zemāk esošais nftables noteikums atmet visus ienākošos IPv4 TCP paketes ar opcijām un neietekmē IPv6, UDP vai ICMP. Tas darbojas līdzās ufw un firewalld.

Instalējiet nftables, ja tas vēl nav instalēts:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Izveidojiet noteikumu failu:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Lai noteikums tiktu atjaunots pēc katras atkārtotas palaišanas, izveidojiet systemd pakalpojumu:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Pārbaudiet, vai noteikums ir ielādēts:

nft list table ip cve_2026_98432

Ja restartēsiet nftables pakalpojumu ar globālu flush ruleset valdīt, skriet systemctl restart cve-2026-98432 pēc tam.

Svarīgi: nepiemērojiet šo noteikumu tīklos, kas izmanto CIPSO etiķetes (SELinux vai Smack NetLabel) — tur parasti tiek izmantotas IP opcijas. Ja jūsu serveris novirza trafiku citām iekārtām, noteikums arī atmetīs to TCP paketes ar IP opcijām.

Atspējojiet MPTCP, ja tas nav nepieciešams.

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Šis iestatījums tikai novērš jauns MPTCP ligzdu izveides novēršana. Pakalpojumi, kas jau darbojas, turpinās klausīties, izmantojot MPTCP, tāpēc restartējiet katru pakalpojumu, kas norādīts sadaļā ss -lnMp un pārliecinieties, ka tā izvade tagad ir tukša.

AlmaLinux sistēmā MPTCP pēc noklusējuma ir atspējots, ja vien to neesat iespējojis pats.

Atspējot MPTCP Go programmās

Pakalpojumiem, kas izveidoti, izmantojot Go 1.24 vai jaunāku versiju, MPTCP var atspējot ar vides mainīgo. Piemēram, pakalpojumam ar nosaukumu myservice:

systemctl edit myservice

Atvērtajā failā pievienojiet sekojošo:

[Service]
Environment=GODEBUG=multipathtcp=0

Pēc tam restartējiet pakalpojumu:

systemctl restart myservice

Atjaunināt rentgenu

Ja jūsu serverī darbojas Xray, atjauniniet to uz v26.10.31 vai jaunāku versiju. Iepriekšējo versiju, v26.10.29, tās izstrādātāji ir atsaukuši. Šis atjauninājums atspējo MPTCP, bet neizlabo kodola problēmas, tāpēc kodola atjauninājums joprojām ir nepieciešams.

Pārbaudiet vēl vienu iestatījumu

Otrajam, šaurākajam ekspluatācijas ceļam ir jāiespējo pieprasījumu migrācija. Pēc noklusējuma tā ir izslēgta — pārliecinieties, vai tā ir ieslēgta:

sysctl net.ipv4.tcp_migrate_req

Komandai vajadzētu izdrukāt 0.

Ierobežojiet piekļuvi saviem pakalpojumiem

Aizveriet visus ugunsmūra portus, kuriem nav jābūt sasniedzamiem no interneta. Ja iespējams, atveriet administratīvos pakalpojumus — SSH, vadības paneļus, datubāzes — tikai uzticamām IP adresēm.

4. darbība. Pēc labotā kodola instalēšanas

1. Pārstartējiet serveri un izmantojiet 1. darbībā norādītās komandas, lai apstiprinātu, ka labotais kodols darbojas.
2. Pagaidu noteikumu var noņemt:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Ja nepieciešams MPTCP, atjaunojiet iestatījumu: dzēst /etc/sysctl.d/99-disable-mptcp.conf un palaist sysctl -w net.mptcp.enabled=1.

Ja kaut kas noiet greizi

Ja serveris pēc kodola atjaunināšanas netiek ielādēts, izveidojiet savienojumu, izmantojot VNC konsoli vadības panelī, un sāknēšanas izvēlnē atlasiet iepriekšējo kodolu. Ja neesat pārliecināts, vai varat to izdarīt pats, vai nepieciešama palīdzība ar atjaunināšanu, sazinieties ar mūsu atbalsta komandu.