Линукс цөмийн чухал эмзэг байдал CVE-2026-98432: VPS-ээ хэрхэн шалгаж, шинэчлэх вэ

2026 оны 10-р сард Linux цөмд CVE-2026-98432 гэсэн чухал эмзэг байдал илэрсэн бөгөөд CVSS шатлалаар 10-аас 9.8 оноо авсан. Энэ нь ирж буй IPv4 TCP холболтуудыг хэрхэн зохицуулахад нөлөөлдөг бөгөөд тодорхой нөхцөлд халдагч серверт алсаас root хандалт авах боломжийг олгодог бөгөөд нууц үггүйгээр, администратороос ямар ч үйлдэл шаардахгүй.

Доор хэн нөлөөлөлд өртсөн, серверээ хэрхэн шалгах, хэрхэн хамгаалах талаар харуулав. Бүх командуудыг root хэрэглэгчийн эрхээр эсвэл -тай ажиллуулдаг. sudo.

Товчхондоо эмзэг байдал

• Энэ юу вэ: уралдааны нөхцлөөс үүдэлтэй IPv4 TCP холболтыг тохируулдаг код дахь ашигласны дараа үнэгүй алдаа. Халдагч тусгайлан бүтээсэн пакетуудыг нээлттэй TCP порт руу илгээдэг.
• Нөлөөлөлд өртсөн цөмүүд: Linux 4.4-өөс хойших бүх хувилбарууд, энэ нь бараг бүх одоогийн тархалт гэсэн үг юм.
• IPv6 үндсэн алдаанаас болж нөлөөлөөгүй.
• Аюул заналхийлэл хэр бодитой вэ: Антропик судлаачид Multipath TCP (MPTCP) идэвхжүүлсэн сервер дээр 53 минутын дотор root хандалт авсан ажиллаж буй эксплойт гинжийг үзүүлэв. Эксплойт кодыг нийтлээгүй байна.
• Зэрлэг байгальд халдлага үйлдсэн: 2026 оны 11-р сарын 1-ний байдлаар ямар ч мөлжлөгийн талаар мэдээлээгүй байна. Энэ бол хойшлуулах шалтгаан биш, харин тайван байдлаар шинэчлэх шалтгаан юм.

Go үйлчилгээнүүд нь тусдаа эрсдэл дагуулдаг. Go 1.24 хувилбараас хойш Linux дээрх серверийн програмууд цөм зөвшөөрсөн үед MPTCP-ээр дамжуулан портуудыг анхдагчаар сонсдог. Админ нь сервер нь ийм холболтыг хүлээн авдаг гэдгийг ч мэдэхгүй байж магадгүй юм. Алдартай програмуудын дунд Xray ингэж ажилладаг - түүний хөгжүүлэгчид MPTCP-г анхдагчаар идэвхгүй болгодог яаралтай хувилбар болох v26.10.31-ийг аль хэдийн гаргасан.

VPS бүр өөрийн гэсэн цөмийг ажиллуулдаг тул та сервер доторх цөмийг өөрөө шинэчлэх хэрэгтэй. Бид виртуалчлалын зангилааг өөрсдөө шинэчилдэг.

Танай системд засвар байгаа юу?

2026 оны 11-р сарын 1-ний байдлаарх байдал. Засварууд бараг өдөр бүр гарч байна - одоогийн байдлыг энэ нийтлэлийн төгсгөлд байгаа холбоосуудаас шалгана уу.

Алхам 1. Та аль цөмийг ажиллуулж байгаагаа шалгана уу

Ажиллаж буй цөмийн хувилбарыг олж мэдэх:

uname -r

Хувилбарын дугаар нь л танд юу ч хэлдэггүй: түгээлтийн backport засварууд нь үндсэн хувилбарыг өөрчлөхгүйгээр өөрсдийн цөм рүүгээ хийгддэг. Цөмийн багцын өөрчлөлтийн бүртгэлийг шалгах нь илүү найдвартай - хэрэв CVE дугаарыг дурдсан бол засвар аль хэдийн суулгасан байна.

Дебиан болон Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Дебиан дээр, uname -v тушаал нь ажиллаж байгаа цөмийн бүрэн багцын хувилбарыг харуулж байна: үүнийг дээрх хүснэгттэй харьцуулна уу.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Хэрэв тушаал юу ч хэвлэхгүй бол ажиллаж байгаа цөм эмзэг байна.

Дараа нь, MPTCP-ээр дамжуулан холболтыг хүлээн авдаг үйлчилгээнүүдийг шалгана уу. Иймэрхүү серверүүд нь харуулсан халдлагын бай байсан:

ss -lnMp

Хоосон гаралт гэдэг нь MPTCP сонсогч байхгүй гэсэн үг юм.

Алхам 2. Тогтмол цөмийг суулгана уу

Цөмийг шинэчлэхээсээ өмнө серверийнхээ нөөц хуулбарыг эсвэл агшин зургийг аваарай.

Debian 12 ба 13

Тогтмол цөмүүд нь аюулгүй байдлын санд байна. Үүнийг идэвхжүүлсэн эсэхийг шалгана уу:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Хэрэв юу ч олдохгүй бол нэмнэ үү security.debian.org таны хувилбарын репозитор. Дараа нь системийг шинэчилнэ үү:

apt update
apt full-upgrade
reboot

Ubuntu

Зассан цөмүүд хараахан гараагүй байна. Шинэчлэлтүүдийг шалгана уу:

apt update
apt list --upgradable | grep linux-image

Хэрэв таны сервер Ubuntu Pro-д холбогдсон бол та засварын төлөвлөгөөг шалгаж болно:

pro fix CVE-2026-98432 --dry-run

Засвар гарсны дараа суулгаад дахин ачаална уу:

apt update
apt full-upgrade
reboot

Тэр болтол 3-р алхамаас түр хамгаалалтыг хэрэгжүүлээрэй.

AlmaLinux 8, 9, 10

Засварласан цөмүүд одоогоор зөвхөн туршилтын репозиторт л байгаа. Хэрэв та үйлдвэрлэлийн сервер дээр суулгахад тохиромжтой бол тэдгээрийг суулгаарай, мөн шинэчлэхээсээ өмнө зураг авахаа мартуузай:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Дахин ачаалсны дараа харьцуулна уу uname -r Дээрх хүснэгтэд байгаа хувилбаруудтай хамт. Хэрэв та туршилтын багцуудыг суулгахыг хүсэхгүй байгаа бол түр хамгаалалтыг хэрэгжүүлээд засвар нь үндсэн репозиторт хүрэхийг хүлээнэ үү.

Rocky Linux болон бусад RHEL дээр суурилсан системүүд

Засвар хараахан гараагүй байна. Та үүнийг дараах байдлаар харж болно:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Засвар гарсны дараа:

dnf update kernel
reboot

Шинэчилсний дараа: дахин ачаалах шаардлагатай

Шинэ цөм зөвхөн дахин ачаалсны дараа л хүчин төгөлдөр болно. Нэг цөм хэрэгтэй эсэхийг шалгахын тулд:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Дахин ачаалсны дараа 1-р алхамаас эхлэн шалгалтыг давтана уу.

Алхам 3. Тогтмол цөм бэлэн болох хүртэл түр хамгаалалт

Эдгээр арга хэмжээ нь эрсдэлийг бууруулдаг боловч цөмийн шинэчлэлтийг орлохгүй.

Триггерийн пакетуудыг хаах

Энэ халдлага нь IPv4 толгой хэсэгт IP сонголттой TCP пакетуудыг ашигладаг. Эдгээр нь ердийн урсгалд бараг хэзээ ч гарч ирдэггүй бөгөөд RFC 7126 нь тэдгээрийг хаяхыг аль хэдийн зөвлөж байна. Доорх nftables дүрэм нь ирж буй бүх IPv4 TCP пакетуудыг сонголттой хаядаг бөгөөд IPv6, UDP эсвэл ICMP-д нөлөөлөхгүй. Энэ нь ufw болон firewalld-тай зэрэгцэн ажилладаг.

Хэрэв nftables суулгаагүй бол үүнийг суулгана уу:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Дүрмийн файлыг үүсгэнэ үү:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Дахин ачаалсны дараа дүрмийг сэргээхийн тулд systemd үйлчилгээг үүсгэнэ үү:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Дүрэм ачаалагдсан эсэхийг шалгана уу:

nft list table ip cve_2026_98432

Хэрэв та nftables үйлчилгээг дэлхийн серверээр дахин эхлүүлбэл flush ruleset захирах, ажиллуулах systemctl restart cve-2026-98432 дараа нь.

Чухал: энэ дүрмийг CIPSO шошго (SELinux эсвэл Smack NetLabel) ашиглан сүлжээнд хэрэглэж болохгүй — IP сонголтуудыг тэнд ердийн байдлаар ашигладаг. Хэрэв таны сервер бусад машинуудын урсгалыг чиглүүлбэл дүрэм нь тэдний TCP пакетуудыг IP сонголттой хамт хаяна.

Хэрэв танд MPTCP хэрэггүй бол идэвхгүй болгоно уу

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Энэ тохиргоо нь зөвхөн сэргийлдэг шинэ MPTCP сокетууд үүсгэгдэхээс сэргийлнэ. Аль хэдийн ажиллаж байгаа үйлчилгээнүүд MPTCP-ээр дамжуулан сонсосоор байх тул жагсаасан бүх үйлчилгээг дахин эхлүүлнэ үү. ss -lnMp мөн түүний гаралт одоо хоосон байгаа эсэхийг шалгаарай.

AlmaLinux дээр MPTCP-г өөрөө идэвхжүүлээгүй л бол анхдагчаар идэвхгүй болгодог.

Go програмууд дахь MPTCP-г идэвхгүй болгох

Go 1.24 эсвэл түүнээс хойшхи хувилбараар бүтээгдсэн үйлчилгээнүүдийн хувьд та MPTCP-г орчны хувьсагчаар идэвхгүй болгож болно. Жишээлбэл, нэртэй үйлчилгээний хувьд myservice:

systemctl edit myservice

Нээгдсэн файлд дараах зүйлийг нэмнэ үү:

[Service]
Environment=GODEBUG=multipathtcp=0

Дараа нь үйлчилгээг дахин эхлүүлнэ үү:

systemctl restart myservice

Рентген зургийг шинэчлэх

Хэрэв таны сервер Xray ажиллуулж байгаа бол v26.10.31 эсвэл түүнээс хойших хувилбар руу шинэчилнэ үү. Өмнөх хувилбар болох v26.10.29-ийг хөгжүүлэгчид нь цуцалсан. Энэ шинэчлэлт нь MPTCP-г идэвхгүй болгодог боловч цөмийг засахгүй тул цөмийн шинэчлэлт шаардлагатай хэвээр байна.

Өөр нэг тохиргоог шалгана уу

Хоёр дахь, илүү нарийн ашиглалтын зам нь хүсэлтийн шилжүүлгийг идэвхжүүлэхийг шаарддаг. Энэ нь анхдагчаар идэвхгүй байдаг - үүнийг шалгаарай:

sysctl net.ipv4.tcp_migrate_req

Команд хэвлэх ёстой 0.

Үйлчилгээндээ хандах эрхийг хязгаарлах

Интернэтээс холбогдох шаардлагагүй бүх галт ханын портыг хаа. Боломжтой бол зөвхөн итгэмжлэгдсэн IP хаягууд руу SSH, хяналтын самбар, мэдээллийн сан зэрэг захиргааны үйлчилгээнүүдийг нээ.

Алхам 4. Тогтмол цөмийг суулгасны дараа

1. Серверийг дахин ачаалж, 1-р алхам дахь командуудыг ашиглан тогтмол цөм ажиллаж байгаа эсэхийг баталгаажуулна уу.
2. Та түр зуурын дүрмийг дараах байдлаар арилгаж болно.
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Хэрэв танд MPTCP хэрэгтэй бол тохиргоог сэргээнэ үү: устгах /etc/sysctl.d/99-disable-mptcp.conf мөн гүйх sysctl -w net.mptcp.enabled=1.

Хэрэв ямар нэг зүйл буруу болвол

Хэрэв таны сервер цөмийн шинэчлэлтийн дараа ачаалахгүй бол удирдлагын самбар дээрх VNC консолоор холбогдож, ачаалах цэснээс өмнөх цөмийг сонгоно уу. Хэрэв та үүнийг өөрөө хийж чадах эсэхээ мэдэхгүй байгаа эсвэл шинэчлэлттэй холбоотой тусламж хэрэгтэй бол манай дэмжлэгийн багтай холбогдоно уу.