Fahalemena manan-danja amin'ny Linux Kernel CVE-2026-98432: Ahoana ny fanamarinana sy fanavaozana ny VPS-nao

Tamin'ny Oktobra 2026, hita tao amin'ny kernel Linux ny fahalemena lehibe iray, CVE-2026-98432 , izay nahazo naoty 9.8 amin'ny 10 tamin'ny ambaratonga CVSS. Misy fiantraikany amin'ny fomba fitantanana ny fifandraisana IPv4 TCP miditra izany, ary, amin'ny fepetra sasany, dia mamela ny mpanafika hahazo fidirana amin'ny mpizara lavitra - tsy misy tenimiafina ary tsy misy hetsika takiana avy amin'ny mpitantana.

Ireto ambany ireto ny olona voakasik'izany, ny fomba hijerena ny mpizara anao ary ny fomba hiarovana azy. Ny baiko rehetra dia ampiasaina amin'ny maha-root na amin'ny alalan'ny sudo.

Ny fahalemena raha fintinina

• Inona izany: bibikely tsy misy fampiasana aorian'ny fampiasana ao amin'ny kaody izay mametraka fifandraisana IPv4 TCP, vokatry ny fepetra hazakazaka. Mandefa fonosana namboarina manokana amin'ny seranana TCP misokatra rehetra ny mpanafika.
• Voanjo voakasik'izany: ny dikan-teny rehetra nanomboka tamin'ny Linux 4.4, izay midika fa saika ny fizarana rehetra misy ankehitriny.
• IPv6 tsy voakasiky ny bibikely lehibe.
• Tena marina tokoa ve ny fandrahonana: Nasehon'ireo mpikaroka olombelona ny rojo exploit miasa izay nahazo fidirana root tamin'ny mpizara iray misy Multipath TCP (MPTCP) nalefa tao anatin'ny 53 minitra teo ho eo. Mbola tsy navoaka ny kaody exploit.
• Fanafihana any an'ala: Hatramin'ny 1 Novambra 2026, tsy mbola nisy tatitra momba ny fanararaotana. Antony hanavaozana am-pilaminana izany, fa tsy antony hanemorana izany.

Mitondra risika misaraka ny serivisy Go. Hatramin'ny Go 1.24, mihaino amin'ny ports amin'ny alàlan'ny MPTCP ny programa mpizara amin'ny Linux isaky ny avelan'ny kernel izany. Mety tsy ho fantatry ny mpitantana akory fa manaiky fifandraisana toy izany ny mpizara azy. Anisan'ireo programa malaza, miasa toy izao ny Xray — efa namoaka dikan-teny maika, v26.10.31, izay manafoana ny MPTCP ny mpamorona azy.

Ny VPS tsirairay dia mampiasa ny kernel-ny manokana, ka mila manavao ny kernel ao anatin'ny mpizara anao ianao. Izahay ihany no manavao ny virtualization nodes.

Misy vahaolana ve ho an'ny rafitrao?

Sata nanomboka ny 1 Novambra 2026. Saika isan'andro no misy fanamboarana — jereo ireo rohy any amin'ny faran'ity lahatsoratra ity raha hijery ny sata ankehitriny.

Dingana 1. Jereo hoe inona ny kernel ampiasainao

Fantaro ny dikan-tenin'ny kernel miasa:

uname -r

Ny laharan'ny version fotsiny dia tsy milaza na inona na inona aminao: ny backport an'ny distributions dia mandamina ao amin'ny kernel-ny manokana nefa tsy manova ny version fototra. Azo antoka kokoa ny manamarina ny changelog an'ny fonosana kernel — raha manonona ny laharan'ny CVE izy, dia efa napetraka ny fanamboarana.

Debian sy Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Ao amin'ny Debian, ny uname -v Ny baiko dia mampiseho ihany koa ny dikan-teny feno amin'ny kernel miasa: ampitahao amin'ny tabilao etsy ambony.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Raha tsy mamoaka na inona na inona ilay baiko, dia marefo ny kernel miasa.

Manaraka, jereo hoe iza amin'ireo serivisy no manaiky fifandraisana amin'ny alàlan'ny MPTCP. Ireo mpizara toa ireto no lasibatra tamin'ny fanafihana naseho:

ss -lnMp

Ny vokatra foana dia midika fa tsy misy mpihaino MPTCP.

Dingana 2. Mametraha ny kernel raikitra

Manaova backup na snapshot an'ny mpizara anao alohan'ny hanavaozana ny kernel.

Debian 12 sy 13

Ao amin'ny tahiry fiarovana ireo kernel voapetraka. Ataovy azo antoka fa alefa izany:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Raha tsy misy hita dia ampio ny security.debian.org tahiry ho an'ny famoahanao. Avy eo dia havaozy ny rafitra:

apt update
apt full-upgrade
reboot

Ubuntu

Mbola tsy navoaka ny kernel voahitsy. Jereo raha misy fanavaozana:

apt update
apt list --upgradable | grep linux-image

Raha mifandray amin'ny Ubuntu Pro ny mpizara anao dia azonao jerena ny drafitra fanamboarana:

pro fix CVE-2026-98432 --dry-run

Rehefa vita ny fanamboarana dia apetraho ary avereno indray:

apt update
apt full-upgrade
reboot

Mandra-pahatongan'izany, ataovy izay hampiharana ny fiarovana vonjimaika avy amin'ny Dingana 3.

AlmaLinux 8, 9, 10

Ao amin'ny tahiry fitsapana ihany no misy ireo kernel efa voapetraka amin'izao fotoana izao. Apetraho izy ireo raha mahazo aina amin'ny mpizara famokarana ianao, ary ataovy izay hahazoanao sary alohan'ny hanavaozana:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Rehefa avy naverina natomboka indray, ampitahao uname -r miaraka amin'ireo dikan-teny ao amin'ny tabilao etsy ambony. Raha tsy tianao ny mametraka fonosana fitsapana, dia ampiharo ny fiarovana vonjimaika ary andraso ny fanamboarana ho tonga any amin'ny tahiry lehibe.

Rocky Linux sy rafitra hafa mifototra amin'ny RHEL

Mbola tsy misy vahaolana hatreto. Azonao jerena amin'ny alalan'ny:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Rehefa navoaka ny fanamboarana:

dnf update kernel
reboot

Aorian'ny fanavaozana: ilaina ny fanombohana indray

Rehefa avy naverina naverina ny kernel vaovao dia miasa. Mba hijerena raha ilaina izany:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Rehefa avy naverina natomboka ny solosaina dia avereno ny fanamarinana avy amin'ny Dingana 1.

Dingana 3. Fiarovana vonjimaika mandra-pahatongan'ny kernel raikitra azo ampiasaina

Ireo fepetra ireo dia mampihena ny risika saingy tsy manolo ny fanavaozana kernel.

Sakanana ireo fonosana trigger

Mampiasa fonosana TCP misy safidy IP ao amin'ny lohatenin'ny IPv4 ny fanafihana. Saika tsy miseho mihitsy amin'ny fifamoivoizana mahazatra izy ireo, ary efa manoro hevitra ny hanafoanana azy ireo ny RFC 7126. Ny fitsipika nftables etsy ambany dia manaisotra ny fonosana TCP IPv4 miditra rehetra misy safidy ary tsy misy fiantraikany amin'ny IPv6, UDP na ICMP. Miara-miasa amin'ny ufw sy firewalld izy io.

Apetraho ny nftables raha mbola tsy napetraka izy:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Mamoròna ny rakitra fitsipika:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Mba hamerenana ny fitsipika aorian'ny famerenana indray isaky ny mandeha indray, mamorona serivisy systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Hamarino fa voapetraka ny fitsipika:

nft list table ip cve_2026_98432

Raha averinao atomboka indray ny serivisy nftables amin'ny alàlan'ny global flush ruleset mifehy, mihazakazaka systemctl restart cve-2026-98432 avy eo.

Zava-dehibe: aza ampiharina amin'ny tambajotra mampiasa marika CIPSO (SELinux na Smack NetLabel) ity fitsipika ity — ampiasaina ara-dalàna any ny safidy IP. Raha mandefa fifamoivoizana ho an'ny milina hafa ny mpizara anao, dia hampiato ny fonosana TCP misy safidy IP ihany koa ny fitsipika.

Atsaharo ny MPTCP raha tsy ilainao izany

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ity fametrahana ity dia misakana fotsiny vaovao Tsy ho noforonina intsony ny sockets MPTCP. Ireo serivisy efa miasa dia hanohy hihaino amin'ny alàlan'ny MPTCP, koa avereno indray ny serivisy rehetra voatanisa ao amin'ny ss -lnMp ary ataovy izay hahazoana antoka fa foana ny vokatra azo izao.

Ao amin'ny AlmaLinux, ny MPTCP dia tsy mandeha amin'ny laoniny raha tsy hoe ianao no mampandeha azy.

Atsaharo ny MPTCP ao amin'ny programa Go

Ho an'ny serivisy namboarina tamin'ny Go 1.24 na taty aoriana, azonao atao ny manafoana ny MPTCP amin'ny alàlan'ny variable environment. Ohatra, ho an'ny serivisy antsoina hoe myservice:

systemctl edit myservice

Ampio amin'ny rakitra misokatra ireto manaraka ireto:

[Service]
Environment=GODEBUG=multipathtcp=0

Dia avereno indray ny serivisy:

systemctl restart myservice

Fanavaozana ny X-ray

Raha mampiasa Xray ny mpizara anao dia havaozy ho v26.10.31 na aoriana kokoa. Nesorin'ireo mpamorona azy ny dikan-teny teo aloha, v26.10.29. Manafoana ny MPTCP ity fanavaozana ity saingy tsy manamboatra ny kernel, ka mbola ilaina ny fanavaozana ny kernel.

Jereo ny fikirana iray hafa

Mila alefa ny fangatahana fifindrana ny lalana faharoa, izay tery kokoa. Tsy mandeha amin'ny laoniny izy io — ataovy azo antoka fa misy izany:

sysctl net.ipv4.tcp_migrate_req

Tokony havoaka ny baiko 0.

Fehezo ny fidirana amin'ny serivisinao

Akatony ny seranana rindranasa fiarovana rehetra izay tsy voatery ho azo ifandraisana amin'ny aterineto. Raha azo atao, sokafy ny serivisy fitantanana — SSH, tontonana fanaraha-maso, tahiry angona — amin'ny adiresy IP azo itokisana ihany.

Dingana 4. Rehefa avy nametraka ny kernel raikitra

1. Avereno indray ny mpizara ary ampiasao ireo baiko avy amin'ny Dingana 1 mba hanamafisana fa miasa ny kernel efa voavaha.
2. Azonao atao ny manala ny fitsipika vonjimaika:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Raha mila MPTCP ianao dia avereno amin'ny laoniny ny fanovana: delete /etc/sysctl.d/99-disable-mptcp.conf ary mihazakazaka sysctl -w net.mptcp.enabled=1.

Raha misy tsy mety

Raha tsy mandeha ny mpizara anao aorian'ny fanavaozana ny kernel, dia mifandraisa amin'ny alàlan'ny console VNC ao amin'ny tontonana fanaraha-maso ary safidio ny kernel teo aloha ao amin'ny menio fanombohana. Raha tsy azonao antoka fa afaka manao izany irery ianao, na mila fanampiana amin'ny fanavaozana, dia mifandraisa amin'ny ekipa mpanohana anay.