Kerentanan Kernel Linux Kritikal CVE-2026-98432: Cara Memeriksa dan Mengemas Kini VPS Anda

Pada Oktober 2026, satu kerentanan kritikal, CVE-2026-98432 , telah ditemui dalam kernel Linux, dengan penarafan 9.8 daripada 10 pada skala CVSS. Ia mempengaruhi cara sambungan IPv4 TCP masuk dikendalikan dan, dalam keadaan tertentu, membolehkan penyerang mendapatkan akses root ke pelayan dari jauh — tanpa kata laluan dan tiada tindakan yang diperlukan daripada pentadbir.

Berikut adalah siapa yang terjejas, cara menyemak pelayan anda dan cara melindunginya. Semua arahan dijalankan sebagai root atau dengan sudo.

Kerentanan secara ringkas

• Apa yang ia adalah: pepijat bebas guna-selepas-dalam kod yang menyediakan sambungan IPv4 TCP, yang disebabkan oleh keadaan perlumbaan. Penyerang menghantar paket yang direka khas ke mana-mana port TCP terbuka.
• Biji yang terjejas: setiap versi sejak Linux 4.4, yang bermaksud hampir setiap pengedaran semasa.
• IPv6 tidak terjejas oleh pepijat utama.
• Betapa nyata ancaman itu: Penyelidik antropik menunjukkan rantaian eksploit yang berfungsi yang memperoleh akses root pada pelayan dengan Multipath TCP (MPTCP) diaktifkan dalam masa kira-kira 53 minit. Kod eksploit belum diterbitkan.
• Serangan di alam liar: Sehingga 1 November 2026, tiada eksploitasi telah dilaporkan. Itu adalah sebab untuk mengemas kini dengan tenang, bukan sebab untuk menangguhkannya.

Perkhidmatan Go membawa risiko yang berasingan. Sejak Go 1.24, program pelayan pada Linux mendengar pada port melalui MPTCP secara lalai apabila kernel membenarkannya. Pentadbir mungkin tidak tahu pelayan mereka menerima sambungan sedemikian. Antara program popular, Xray berfungsi dengan cara ini — pembangunnya telah pun mengeluarkan versi kecemasan, v26.10.31, yang melumpuhkan MPTCP secara lalai.

Setiap VPS menjalankan kernelnya sendiri, jadi anda perlu mengemas kini kernel di dalam pelayan anda sendiri. Kami mengemas kini nod virtualisasi sendiri.

Adakah terdapat penyelesaian untuk sistem anda

Status setakat 1 November 2026. Pembetulan dibuat hampir setiap hari — semak pautan di hujung artikel ini untuk status semasa.

Langkah 1. Semak kernel yang anda jalankan

Ketahui versi kernel yang sedang berjalan:

uname -r

Nombor versi sahaja tidak memberitahu anda apa-apa: backport pengedaran membetulkan ke dalam kernel mereka sendiri tanpa mengubah versi asas. Adalah lebih dipercayai untuk menyemak log perubahan pakej kernel — jika ia menyebut nombor CVE, pembaikan telah dipasang.

Debian dan Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Pada Debian, uname -v arahan juga menunjukkan versi pakej penuh kernel yang sedang berjalan: bandingkannya dengan jadual di atas.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Jika arahan tidak mencetak apa-apa, kernel yang sedang berjalan terdedah.

Seterusnya, semak perkhidmatan mana yang menerima sambungan melalui MPTCP. Pelayan seperti ini adalah sasaran dalam serangan yang ditunjukkan:

ss -lnMp

Output kosong bermaksud tiada pendengar MPTCP.

Langkah 2. Pasang kernel yang telah ditetapkan

Ambil sandaran atau snapshot pelayan anda sebelum mengemas kini kernel.

Debian 12 dan 13

Kernel yang telah ditetapkan berada dalam repositori keselamatan. Pastikan ia diaktifkan:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Jika tiada apa-apa yang ditemui, tambahkan security.debian.org repositori untuk keluaran anda. Kemudian kemas kini sistem:

apt update
apt full-upgrade
reboot

Ubuntu

Kernel yang telah dibaiki belum dikeluarkan lagi. Semak kemas kini:

apt update
apt list --upgradable | grep linux-image

Jika pelayan anda disambungkan ke Ubuntu Pro, anda boleh menyemak pelan pembaikan:

pro fix CVE-2026-98432 --dry-run

Setelah pembetulan dikeluarkan, pasang dan but semula:

apt update
apt full-upgrade
reboot

Sehingga itu, pastikan anda menggunakan perlindungan sementara dari Langkah 3.

AlmaLinux 8, 9, 10

Kernel tetap pada masa ini hanya tersedia dalam repositori ujian. Pasangkannya jika anda selesa berbuat demikian pada pelayan pengeluaran dan pastikan anda mengambil gambar sebelum mengemas kini:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Selepas but semula, bandingkan uname -r dengan versi dalam jadual di atas. Jika anda tidak mahu memasang pakej ujian, gunakan perlindungan sementara dan tunggu sehingga pembaikan sampai ke repositori utama.

Rocky Linux dan sistem berasaskan RHEL yang lain

Tiada penyelesaian lagi. Anda boleh memerhatikannya dengan:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Sebaik sahaja pembetulan dikeluarkan:

dnf update kernel
reboot

Selepas mengemas kini: but semula diperlukan

Kernel baharu hanya akan berkuat kuasa selepas but semula. Untuk menyemak sama ada ia diperlukan:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Selepas but semula, ulangi semakan dari Langkah 1.

Langkah 3. Perlindungan sementara sehingga kernel tetap tersedia

Langkah-langkah ini mengurangkan risiko tetapi tidak menggantikan kemas kini kernel.

Sekat paket pencetus

Serangan ini menggunakan paket TCP dengan pilihan IP dalam pengepala IPv4. Ia secara praktikalnya tidak pernah muncul dalam trafik biasa, dan RFC 7126 sudah mengesyorkan untuk menggugurkannya. Peraturan nftables di bawah menggugurkan semua paket TCP IPv4 masuk dengan pilihan dan tidak menjejaskan IPv6, UDP atau ICMP. Ia berfungsi bersama ufw dan firewalld.

Pasang nftables jika ia belum dipasang:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Cipta fail peraturan:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Untuk memulihkan peraturan selepas setiap but semula, buat perkhidmatan systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Pastikan peraturan dimuatkan:

nft list table ip cve_2026_98432

Jika anda memulakan semula perkhidmatan nftables dengan global flush ruleset memerintah, menjalankan systemctl restart cve-2026-98432 selepas itu.

Penting: jangan gunakan peraturan ini pada rangkaian yang menggunakan label CIPSO (SELinux atau Smack NetLabel) — Pilihan IP biasanya digunakan di sana. Jika pelayan anda menghalakan trafik untuk mesin lain, peraturan tersebut juga akan menggugurkan paket TCP mereka dengan pilihan IP.

Lumpuhkan MPTCP jika anda tidak memerlukannya

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Tetapan ini hanya menghalang baru Soket MPTCP daripada dicipta. Perkhidmatan yang telah berjalan akan terus mendengar melalui MPTCP, jadi mulakan semula setiap perkhidmatan yang disenaraikan oleh ss -lnMp dan pastikan outputnya kini kosong.

Pada AlmaLinux, MPTCP dinyahdayakan secara lalai melainkan anda mendayakannya sendiri.

Lumpuhkan MPTCP dalam program Go

Untuk perkhidmatan yang dibina dengan Go 1.24 atau yang lebih baharu, anda boleh melumpuhkan MPTCP dengan pembolehubah persekitaran. Contohnya, untuk perkhidmatan yang dipanggil myservice:

systemctl edit myservice

Tambahkan yang berikut pada fail yang dibuka:

[Service]
Environment=GODEBUG=multipathtcp=0

Kemudian mulakan semula perkhidmatan:

systemctl restart myservice

Kemas kini X-ray

Jika pelayan anda menjalankan Xray, kemas kini kepada v26.10.31 atau yang lebih baharu. Versi sebelumnya, v26.10.29, telah ditarik balik oleh pembangunnya. Kemas kini ini melumpuhkan MPTCP tetapi tidak membetulkan kernel, jadi kemas kini kernel masih diperlukan.

Semak satu lagi tetapan

Laluan eksploitasi kedua yang lebih sempit memerlukan permintaan migrasi diaktifkan. Ia dimatikan secara lalai — pastikan ia:

sysctl net.ipv4.tcp_migrate_req

Perintah itu harus dicetak 0.

Hadkan akses kepada perkhidmatan anda

Tutup setiap port firewall yang tidak perlu dicapai dari internet. Jika boleh, buka perkhidmatan pentadbiran — SSH, panel kawalan, pangkalan data — hanya pada alamat IP yang dipercayai.

Langkah 4. Selepas memasang kernel yang telah ditetapkan

1. But semula pelayan dan gunakan arahan dari Langkah 1 untuk mengesahkan bahawa kernel yang telah ditetapkan sedang berjalan.
2. Anda boleh mengalih keluar peraturan sementara:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Jika anda memerlukan MPTCP, pulihkan tetapan: padam /etc/sysctl.d/99-disable-mptcp.conf dan lari sysctl -w net.mptcp.enabled=1.

Jika ada yang tidak kena

Jika pelayan anda tidak boot selepas kemas kini kernel, sambungkan melalui konsol VNC dalam panel kawalan dan pilih kernel sebelumnya dalam menu but. Jika anda tidak pasti anda boleh melakukannya sendiri atau memerlukan bantuan dengan kemas kini, hubungi pasukan sokongan kami.