Vulnerabbiltà Kritika tal-Kernel tal-Linux CVE-2026-98432: Kif Tiċċekkja u Taġġorna l-VPS Tiegħek

F'Ottubru 2026, instabet vulnerabbiltà kritika, CVE-2026-98432 , fil-kernel tal-Linux, ikklassifikata 9.8 minn 10 fuq l-iskala CVSS. Din taffettwa kif jiġu mmaniġġjati l-konnessjonijiet IPv4 TCP li deħlin u, taħt ċerti kundizzjonijiet, tippermetti lil attakkant jikseb aċċess root għal server mill-bogħod — mingħajr password u mingħajr azzjoni meħtieġa mill-amministratur.

Hawn taħt tinsab min hu affettwat, kif tiċċekkja s-server tiegħek u kif tipproteġih. Il-kmandi kollha jitħaddmu bħala root jew b' sudo.

Il-vulnerabbiltà fil-qosor

• X'inhu: bug ta' użu wara li jkun ħieles fil-kodiċi li jistabbilixxi konnessjonijiet IPv4 TCP, ikkawżat minn kundizzjoni ta' tellieqa. L-attakkant jibgħat pakketti mfassla apposta lil kwalunkwe port TCP miftuħ.
• Qlub affettwati: kull verżjoni minn Linux 4.4 'l hawn, li jfisser prattikament kull distribuzzjoni attwali.
• IPv6 mhux affettwat mill-bug prinċipali.
• Kemm hi reali t-theddida: Riċerkaturi antropiċi wrew katina ta' exploits li taħdem li kisbet aċċess għall-għeruq fuq server b'Multipath TCP (MPTCP) attivat f'madwar 53 minuta. Il-kodiċi tal-exploit għadu ma ġiex ippubblikat.
• Attakki fin-natura: Mill-1 ta' Novembru 2026, ma ġie rrappurtat l-ebda sfruttament. Din hija raġuni biex taġġorna bil-kalma, mhux raġuni biex tipposponiha.

Is-servizzi ta' Go jġorru riskju separat. Mill-verżjoni 1.24 'l hawn, il-programmi tas-server fuq Linux jisimgħu l-portijiet permezz tal-MPTCP awtomatikament kull meta l-kernel jippermetti dan. Amministratur jista' lanqas biss ikun jaf li s-server tiegħu jaċċetta konnessjonijiet bħal dawn. Fost programmi popolari, Xray jaħdem b'dan il-mod — l-iżviluppaturi tiegħu diġà ħarġu verżjoni ta' emerġenza, v26.10.31, li tiddiżattiva l-MPTCP awtomatikament.

Kull VPS iħaddem il-kernel tiegħu stess, għalhekk trid taġġorna l-kernel ġewwa s-server tiegħek int stess. Aħna naġġornaw in-nodi tal-virtualizzazzjoni aħna stess.

Hemm xi soluzzjoni għas-sistema tiegħek?

Status mill-1 ta' Novembru 2026. It-tiswijiet qed jaslu kważi kuljum — iċċekkja l-links fl-aħħar ta' dan l-artiklu għall-istatus attwali.

Pass 1. Iċċekkja liema kernel qed tħaddem

Sib il-verżjoni tal-kernel li qed jaħdem:

uname -r

In-numru tal-verżjoni waħdu ma jgħidlek xejn: id-distribuzzjonijiet jagħmlu backport tal-korrezzjonijiet fil-kernels tagħhom stess mingħajr ma jibdlu l-verżjoni bażi. Huwa aktar affidabbli li tiċċekkja l-changelog tal-pakkett tal-kernel — jekk isemmi n-numru CVE, il-korrezzjoni diġà tkun installata.

Debian u Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Fuq Debian, il- uname -v Il-kmand juri wkoll il-verżjoni sħiħa tal-pakkett tal-kernel li qed jaħdem: qabbilha mat-tabella ta' hawn fuq.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Jekk il-kmand ma jipprintja xejn, il-kernel li jkun qed jaħdem ikun vulnerabbli.

Imbagħad, iċċekkja liema servizzi jaċċettaw konnessjonijiet permezz tal-MPTCP. Servers bħal dawn kienu l-mira fl-attakk muri:

ss -lnMp

Output vojt ifisser li m'hemm l-ebda semmiegħa tal-MPTCP.

Pass 2. Installa l-kernel fiss

Ħu backup jew snapshot tas-server tiegħek qabel ma taġġorna l-kernel.

Debian 12 u 13

Il-kernels fissi jinsabu fir-repożitorju tas-sigurtà. Kun żgur li huwa attivat:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Jekk ma jinstab xejn, żid il- security.debian.org repożitorju għar-rilaxx tiegħek. Imbagħad aġġorna s-sistema:

apt update
apt full-upgrade
reboot

Ubuntu

Il-kernels fissi għadhom ma ġewx rilaxxati. Iċċekkja għal aġġornamenti:

apt update
apt list --upgradable | grep linux-image

Jekk is-server tiegħek huwa konness ma' Ubuntu Pro, tista' tiċċekkja l-pjan ta' tiswija:

pro fix CVE-2026-98432 --dry-run

Ladarba l-korrezzjoni tiġi rilaxxata, installaha u erġa' ibda:

apt update
apt full-upgrade
reboot

Sadanittant, kun żgur li tapplika l-protezzjoni temporanja mill-Pass 3.

AlmaLinux 8, 9, 10

Il-kernels fissi bħalissa huma disponibbli biss fir-repożitorju tat-testijiet. Installahom jekk tħossok komdu tagħmel dan fuq server tal-produzzjoni, u kun żgur li tieħu snapshot qabel ma taġġorna:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Wara li terġa' tibda, qabbel uname -r bil-verżjonijiet fit-tabella ta' hawn fuq. Jekk tippreferi ma tinstallax pakketti tat-test, applika l-protezzjoni temporanja u stenna li s-soluzzjoni tasal fir-repożitorju prinċipali.

Rocky Linux u sistemi oħra bbażati fuq RHEL

Għad m'hemm l-ebda soluzzjoni. Tista' taraha b'dan li ġej:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Ladarba tiġi rilaxxata s-soluzzjoni:

dnf update kernel
reboot

Wara l-aġġornament: huwa meħtieġ li terġa' tibda

Il-kernel il-ġdid jidħol fis-seħħ biss wara reboot. Biex tiċċekkja jekk wieħed huwiex meħtieġ:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Wara li terġa' tibda, irrepeti l-verifika mill-Pass 1.

Pass 3. Protezzjoni temporanja sakemm ikun disponibbli kernel fiss

Dawn il-miżuri jnaqqsu r-riskju iżda ma jissostitwixxux aġġornament tal-kernel.

Imblokka l-pakketti tat-trigger

L-attakk juża pakketti TCP b'għażliet IP fil-header tal-IPv4. Prattikament qatt ma jidhru fit-traffiku normali, u l-RFC 7126 diġà jirrakkomanda li jitneħħew. Ir-regola nftables hawn taħt twaqqa' l-pakketti TCP IPv4 kollha li deħlin b'għażliet u ma taffettwax l-IPv6, UDP jew ICMP. Jaħdem flimkien ma' ufw u firewalld.

Installa nftables jekk mhux diġà installat:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Oħloq il-fajl tar-regoli:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Biex ir-regola tiġi restawrata wara kull reboot, oħloq servizz systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Iċċekkja li r-regola hija mgħobbija:

nft list table ip cve_2026_98432

Jekk terġa' tibda s-servizz nftables b'sistema globali flush ruleset regola, ġirja systemctl restart cve-2026-98432 wara.

Importanti: tapplikax din ir-regola fuq netwerks li jużaw tikketti CIPSO (SELinux jew Smack NetLabel) — l-għażliet tal-IP normalment jintużaw hemmhekk. Jekk is-server tiegħek jidderieġi t-traffiku għal magni oħra, ir-regola se twaqqa' wkoll il-pakketti TCP tagħhom bl-għażliet tal-IP.

Iddiżattiva l-MPTCP jekk m'għandekx bżonnu

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Din l-issettjar tipprevjeni biss ġdid Sokits tal-MPTCP milli jinħolqu. Servizzi li diġà qed jaħdmu se jibqgħu jisimgħu permezz tal-MPTCP, għalhekk erġa' erġa' poġġi kull servizz elenkat minn ss -lnMp u kun żgur li l-output tiegħu issa huwa vojt.

Fuq AlmaLinux, l-MPTCP huwa diżattivat awtomatikament sakemm ma tkunx attivajtu int stess.

Iddiżattiva l-MPTCP fil-programmi Go

Għal servizzi mibnija b'Go 1.24 jew aktar tard, tista' tiddiżattiva l-MPTCP b'varjabbli tal-ambjent. Pereżempju, għal servizz imsejjaħ myservice:

systemctl edit myservice

Żid dan li ġej mal-fajl li jiftaħ:

[Service]
Environment=GODEBUG=multipathtcp=0

Imbagħad erġa' ibda s-servizz:

systemctl restart myservice

Aġġorna l-Xray

Jekk is-server tiegħek juża Xray, aġġornah għall-verżjoni 26.10.31 jew aktar tard. Il-verżjoni preċedenti, il-verżjoni 26.10.29, ġiet irtirata mill-iżviluppaturi tagħha. Dan l-aġġornament jiddiżattiva l-MPTCP iżda ma jirranġax il-kernel, għalhekk xorta waħda hemm bżonn ta' aġġornament tal-kernel.

Iċċekkja setting ieħor

It-tieni mogħdija ta' sfruttament, li hija aktar dejqa, teħtieġ li l-migrazzjoni tat-talbiet tkun attivata. Din hija mitfija awtomatikament — kun żgur minnha:

sysctl net.ipv4.tcp_migrate_req

Il-kmand għandu jistampa 0.

Irrestrinġi l-aċċess għas-servizzi tiegħek

Agħlaq kull port tal-firewall li mhux bilfors ikun aċċessibbli mill-internet. Fejn possibbli, iftaħ is-servizzi amministrattivi — SSH, control panels, databases — biss għal indirizzi IP fdati.

Pass 4. Wara l-installazzjoni tal-kernel fiss

1. Erġa' ibda s-server u uża l-kmandi mill-Pass 1 biex tikkonferma li l-kernel fiss qed jaħdem.
2. Tista' tneħħi r-regola temporanja:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Jekk teħtieġ MPTCP, irrestawra s-setting: ħassar /etc/sysctl.d/99-disable-mptcp.conf u tiġri sysctl -w net.mptcp.enabled=1.

Jekk xi ħaġa tmur ħażin

Jekk is-server tiegħek ma jibbutjax wara l-aġġornament tal-kernel, qabbad permezz tal-console VNC fil-pannell tal-kontroll u agħżel il-kernel preċedenti fil-menu tal-ibbutjar. Jekk m'intix ċert jekk tistax tagħmel dan int stess, jew teħtieġ għajnuna bl-aġġornament, ikkuntattja lit-tim ta' appoġġ tagħna.