အရေးကြီးသော Linux Kernel အားနည်းချက် CVE-2026-98432: သင်၏ VPS ကို စစ်ဆေးပြီး အပ်ဒိတ်လုပ်နည်း

၂၀၂၆ ခုနှစ် အောက်တိုဘာလတွင် CVE-2026-98432 ဟုခေါ်သော အရေးပါသော အားနည်းချက်တစ်ခုကို Linux kernel တွင် တွေ့ရှိခဲ့ပြီး CVSS scale တွင် ၁၀ မှတ်အနက် ၉.၈ မှတ် ရရှိခဲ့သည်။ ၎င်းသည် ဝင်လာသော IPv4 TCP ချိတ်ဆက်မှုများကို မည်သို့ကိုင်တွယ်သည်ကို သက်ရောက်မှုရှိပြီး အချို့သောအခြေအနေများတွင် တိုက်ခိုက်သူအား စကားဝှက်မလိုဘဲနှင့် administrator ထံမှ မည်သည့်လုပ်ဆောင်ချက်မျှ မလိုအပ်ဘဲ server သို့ root access ကို အဝေးမှရယူနိုင်စေပါသည်။

အောက်တွင် မည်သူများထိခိုက်သည်၊ သင့်ဆာဗာကို မည်သို့စစ်ဆေးရမည်နှင့် ၎င်းကို မည်သို့ကာကွယ်ရမည်ကို ဖော်ပြထားသည်။ command အားလုံးကို root အနေဖြင့် သို့မဟုတ် ဖြင့် run သည်။ sudo.

အကျဉ်းချုပ်ပြောရရင် အားနည်းချက်

• ဒါဘာလဲ: race condition ကြောင့်ဖြစ်ပေါ်လာသော IPv4 TCP ချိတ်ဆက်မှုများကို စနစ်ထည့်သွင်းသည့် code တွင် use-after-free bug တစ်ခု။ attacker သည် open TCP port တစ်ခုခုသို့ အထူးပြုလုပ်ထားသော packet များကို ပေးပို့သည်။
• ထိခိုက်ခံရသော အစေ့များ- Linux 4.4 မှစ၍ ဗားရှင်းတိုင်း၊ ဆိုလိုသည်မှာ လက်ရှိဖြန့်ဖြူးမှုတိုင်းနီးပါး။
• IPv6 အဓိက bug ကြောင့် ထိခိုက်ခံရခြင်း မရှိပါ။
• ခြိမ်းခြောက်မှုက ဘယ်လောက်ထိ မှန်ကန်လဲ။ လူသားသုတေသီများသည် Multipath TCP (MPTCP) ကိုဖွင့်ထားသော server တွင် မိနစ် ၅၃ ခန့်အတွင်း root access ရရှိသည့် exploit chain တစ်ခုကို သရုပ်ပြခဲ့ကြသည်။ exploit code ကို မထုတ်ဝေရသေးပါ။
• တောရိုင်းတိုက်ခိုက်မှုများ- ၂၀၂၆ ခုနှစ်၊ နိုဝင်ဘာလ ၁ ရက်နေ့အထိ အသုံးချမှုတစ်စုံတစ်ရာ မတွေ့ရှိရသေးပါ။ ယင်းမှာ အပ်ဒိတ်လုပ်ရန် ရွှေ့ဆိုင်းရန် အကြောင်းပြချက်မဟုတ်ဘဲ တည်ငြိမ်စွာ အပ်ဒိတ်လုပ်ရန် အကြောင်းပြချက်တစ်ခုဖြစ်သည်။

Go ဝန်ဆောင်မှုများတွင် သီးခြားအန္တရာယ်ရှိသည်။ Go 1.24 မှစ၍ Linux ရှိ server program များသည် kernel မှ ခွင့်ပြုသည့်အခါတိုင်း MPTCP မှတစ်ဆင့် port များကို default အနေဖြင့် နားထောင်သည်။ administrator သည် ၎င်းတို့၏ server သည် ထိုကဲ့သို့သော ချိတ်ဆက်မှုများကို လက်ခံသည်ကိုပင် မသိနိုင်ပါ။ လူကြိုက်များသော program များထဲတွင် Xray သည် ဤနည်းအတိုင်း အလုပ်လုပ်သည် - ၎င်း၏ developer များသည် အရေးပေါ်ဗားရှင်း v26.10.31 ကို ထုတ်ပြန်ပြီးဖြစ်ပြီး default အနေဖြင့် MPTCP ကို ​​disable လုပ်ထားသည်။

VPS တစ်ခုချင်းစီမှာ ကိုယ်ပိုင် kernel ပါရှိတာကြောင့် သင့် server ထဲက kernel ကို သင်ကိုယ်တိုင် update လုပ်ရပါမယ်။ virtualization node တွေကို ကျွန်တော်တို့ကိုယ်တိုင် update လုပ်ပါတယ်။

သင့်စနစ်အတွက် ပြင်ဆင်ချက်ရှိပါသလား

၂၀၂၆ ခုနှစ်၊ နိုဝင်ဘာလ ၁ ရက်နေ့အထိ အခြေအနေ။ ပြင်ဆင်မှုများသည် နေ့စဉ်နီးပါး ရောက်ရှိလာပါသည် — လက်ရှိအခြေအနေအတွက် ဤဆောင်းပါး၏အဆုံးရှိ လင့်ခ်များကို စစ်ဆေးပါ။

အဆင့် ၁။ သင်ဘယ် kernel ကို run နေလဲဆိုတာ စစ်ဆေးပါ

လည်ပတ်နေတဲ့ kernel ရဲ့ version ကိုရှာပါ:

uname -r

ဗားရှင်းနံပါတ်တစ်ခုတည်းက ဘာမှမပြောပါဘူး- ဖြန့်ချိမှုများသည် အခြေခံဗားရှင်းကို မပြောင်းလဲဘဲ ၎င်းတို့၏ကိုယ်ပိုင် kernel များထဲသို့ backport ပြင်ဆင်ပေးသည်။ kernel package changelog ကိုစစ်ဆေးခြင်းသည် ပိုမိုယုံကြည်စိတ်ချရသည် - CVE နံပါတ်ကိုဖော်ပြထားပါက ပြင်ဆင်မှုကို ထည့်သွင်းပြီးသားဖြစ်သည်။

Debian နှင့် Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Debian မှာဆိုရင်၊ uname -v command သည် လည်ပတ်နေသော kernel ၏ package ဗားရှင်းအပြည့်အစုံကိုလည်း ပြသသည်- အထက်ပါဇယားနှင့် နှိုင်းယှဉ်ပါ။

AlmaLinux၊ Rocky Linux၊ RHEL၊ Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

command က ဘာမှ print မလုပ်ဘူးဆိုရင် run နေတဲ့ kernel က အားနည်းချက်ရှိပါတယ်။

ထို့နောက် MPTCP မှတစ်ဆင့် ချိတ်ဆက်မှုများကို လက်ခံသည့် ဝန်ဆောင်မှုများကို စစ်ဆေးပါ။ ဤကဲ့သို့သော ဆာဗာများသည် သရုပ်ပြတိုက်ခိုက်မှုတွင် ပစ်မှတ်များဖြစ်သည်-

ss -lnMp

output ဗလာဖြစ်နေခြင်းကို ဆိုလိုသည်မှာ MPTCP listeners မရှိကြောင်း ဆိုလိုသည်။

အဆင့် ၂။ ပြင်ဆင်ပြီးသား kernel ကို install လုပ်ပါ။

kernel ကို update မလုပ်ခင် server ရဲ့ backup ဒါမှမဟုတ် snapshot ကိုယူပါ။

ဒီဘီယန် ၁၂ နှင့် ၁၃

ပြင်ဆင်ပြီးသား kernel များသည် လုံခြုံရေး repository တွင်ရှိသည်။ ၎င်းကိုဖွင့်ထားကြောင်း သေချာပါစေ။

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

ဘာမှမတွေ့ရင်ထည့်ပါ security.debian.org သင့်ထုတ်ဝေမှုအတွက် repository ကိုဖွင့်ပါ။ ထို့နောက် စနစ်ကို အပ်ဒိတ်လုပ်ပါ-

apt update
apt full-upgrade
reboot

Ubuntu ကို

ပြင်ဆင်ပြီးသား kernel များကို မထုတ်ပြန်ရသေးပါ။ အပ်ဒိတ်များအတွက် စစ်ဆေးပါ-

apt update
apt list --upgradable | grep linux-image

သင့်ဆာဗာကို Ubuntu Pro နှင့် ချိတ်ဆက်ထားပါက ပြင်ဆင်မှုအစီအစဉ်ကို စစ်ဆေးနိုင်သည်-

pro fix CVE-2026-98432 --dry-run

ပြင်ဆင်ချက်ထွက်လာပြီးသည်နှင့် ၎င်းကို ထည့်သွင်းပြီး ပြန်လည်စတင်ပါ-

apt update
apt full-upgrade
reboot

အဲဒီအချိန်အထိ၊ အဆင့် ၃ မှ ယာယီကာကွယ်မှုကို ကျင့်သုံးဖို့ သေချာပါစေ။

AlmaLinux ၈၊ ၉၊ ၁၀

Fixed kernel များကို လက်ရှိတွင် testing repository တွင်သာ ရရှိနိုင်ပါသည်။ production server တွင် ထည့်သွင်းရန် အဆင်ပြေပါက ထည့်သွင်းပါ၊ အပ်ဒိတ်မလုပ်မီ snapshot ရိုက်ထားပါ။

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

ပြန်ဖွင့်ပြီးနောက် နှိုင်းယှဉ်ကြည့်ပါ uname -r အထက်ပါဇယားရှိ ဗားရှင်းများနှင့်အတူ။ စမ်းသပ် package များကို မထည့်သွင်းလိုပါက ယာယီကာကွယ်မှုကို အသုံးပြုပြီး ပြင်ဆင်မှုသည် အဓိက repository သို့ ရောက်ရှိသည်အထိ စောင့်ပါ။

Rocky Linux နှင့် အခြား RHEL-based စနစ်များ

ပြင်ဆင်ချက် မရှိသေးပါဘူး။ အောက်ပါနဲ့ စောင့်ကြည့်နိုင်ပါတယ်-

dnf --refresh updateinfo info --all --cves CVE-2026-98432

ပြင်ဆင်ချက်ကို ထုတ်ပြန်ပြီးသည်နှင့်-

dnf update kernel
reboot

အပ်ဒိတ်လုပ်ပြီးနောက်- ပြန်လည်စတင်ရန် လိုအပ်ပါသည်

kernel အသစ်သည် reboot လုပ်ပြီးနောက်တွင်သာ အသက်ဝင်ပါသည်။ လိုအပ်မှုရှိမရှိ စစ်ဆေးရန်-

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

reboot လုပ်ပြီးနောက်၊ အဆင့် ၁ မှစစ်ဆေးမှုကိုပြန်လုပ်ပါ။

အဆင့် ၃။ ပြင်ဆင်ပြီးသား kernel ရရှိနိုင်သည်အထိ ယာယီကာကွယ်မှု

ဤအစီအမံများသည် အန္တရာယ်ကို လျှော့ချပေးသော်လည်း kernel update ကို အစားမထိုးပါ။

trigger packet များကို ပိတ်ဆို့ပါ

ဒီတိုက်ခိုက်မှုမှာ IPv4 header မှာ IP option တွေပါတဲ့ TCP packet တွေကို အသုံးပြုပါတယ်။ ပုံမှန် traffic မှာ ဘယ်တော့မှ မပေါ်လာပါဘူး။ RFC 7126 ကလည်း သူတို့ကို drop လုပ်ဖို့ အကြံပြုထားပါတယ်။ အောက်က nftables rule က incoming IPv4 TCP packet အားလုံးကို option တွေပါတဲ့ drop လုပ်ပြီး IPv6, UDP ဒါမှမဟုတ် ICMP ကို ​​မထိခိုက်ပါဘူး။ ufw နဲ့ firewalld နဲ့အတူ အလုပ်လုပ်ပါတယ်။

nftables ကို install မလုပ်ရသေးပါက install လုပ်ပါ။

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

စည်းမျဉ်းဖိုင်ကို ဖန်တီးပါ-

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

reboot လုပ်ပြီးတိုင်း rule ကို restore လုပ်ဖို့ systemd service တစ်ခု ဖန်တီးပါ။

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

စည်းမျဉ်းကို ဖွင့်ထားခြင်း ရှိ၊ မရှိ စစ်ဆေးပါ-

nft list table ip cve_2026_98432

nftables ဝန်ဆောင်မှုကို global နဲ့ ပြန်စရင် flush ruleset အုပ်ချုပ်၊ ပြေး systemctl restart cve-2026-98432 နောက်မှ

အရေးကြီးသည်- CIPSO အညွှန်းများ (SELinux သို့မဟုတ် Smack NetLabel) ကို အသုံးပြုသည့် ကွန်ရက်များတွင် ဤစည်းမျဉ်းကို မကျင့်သုံးပါနှင့် — IP ရွေးချယ်မှုများကို ထိုနေရာတွင် ပုံမှန်အားဖြင့် အသုံးပြုပါသည်။ သင့်ဆာဗာသည် အခြားစက်များအတွက် အသွားအလာကို လမ်းကြောင်းပြောင်းပါက စည်းမျဉ်းသည် ၎င်းတို့၏ TCP packet များကို IP ရွေးချယ်မှုများဖြင့်လည်း ကျဆင်းစေမည်ဖြစ်သည်။

မလိုအပ်ရင် MPTCP ကို ​​ပိတ်လိုက်ပါ

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

ဒီသတ်မှတ်ချက်ကသာ တားဆီးပေးပါတယ် အသစ် MPTCP socket များကို ဖန်တီးခြင်းမှ ရှောင်ကြဉ်ပါ။ လက်ရှိလည်ပတ်နေသော ဝန်ဆောင်မှုများသည် MPTCP မှတစ်ဆင့် နားထောင်နေမည်ဖြစ်သောကြောင့် စာရင်းပြုစုထားသော ဝန်ဆောင်မှုတိုင်းကို ပြန်လည်စတင်ပါ။ ss -lnMp ၎င်း၏ output သည် ယခု ဗလာဖြစ်နေကြောင်း သေချာပါစေ။

AlmaLinux မှာ MPTCP ကို ​​ကိုယ်တိုင်ဖွင့်မထားရင် default အနေနဲ့ disable လုပ်ထားပါတယ်။

Go ပရိုဂရမ်များတွင် MPTCP ကိုပိတ်ပါ

Go 1.24 သို့မဟုတ် နောက်ပိုင်းဗားရှင်းဖြင့် တည်ဆောက်ထားသော ဝန်ဆောင်မှုများအတွက်၊ သင်သည် MPTCP ကို ​​environment variable တစ်ခုဖြင့် ပိတ်နိုင်သည်။ ဥပမာအားဖြင့်၊ ဟုခေါ်သော ဝန်ဆောင်မှုတစ်ခုအတွက် myservice:

systemctl edit myservice

ပွင့်လာတဲ့ဖိုင်ထဲကို အောက်ပါတွေကို ထည့်ပါ။

[Service]
Environment=GODEBUG=multipathtcp=0

ထို့နောက် ဝန်ဆောင်မှုကို ပြန်လည်စတင်ပါ-

systemctl restart myservice

Xray ကို အပ်ဒိတ်လုပ်ပါ

သင့်ဆာဗာသည် Xray ကို လုပ်ဆောင်ပါက v26.10.31 သို့မဟုတ် နောက်ပိုင်းဗားရှင်းသို့ အပ်ဒိတ်လုပ်ပါ။ ယခင်ဗားရှင်း v26.10.29 ကို ၎င်း၏ ဆော့ဖ်ဝဲရေးသားသူများက ရုပ်သိမ်းလိုက်ပါပြီ။ ဤအပ်ဒိတ်သည် MPTCP ကို ​​ပိတ်လိုက်သော်လည်း kernel ကို မပြင်ဆင်သောကြောင့် kernel အပ်ဒိတ်တစ်ခု လိုအပ်နေဆဲဖြစ်သည်။

နောက်ထပ် ဆက်တင်တစ်ခုကို စစ်ဆေးပါ

ဒုတိယ၊ ပိုကျဉ်းမြောင်းတဲ့ exploitation path ကတော့ request migration ကို enable လုပ်ဖို့လိုအပ်ပါတယ်။ default အားဖြင့် off လုပ်ထားတယ်ဆိုတာ သေချာအောင်လုပ်ပါ -

sysctl net.ipv4.tcp_migrate_req

အမိန့်ကို ရိုက်နှိပ်သင့်ပါတယ် 0.

သင့်ဝန်ဆောင်မှုများသို့ ဝင်ရောက်ခွင့်ကို ကန့်သတ်ပါ

အင်တာနက်မှ ဆက်သွယ်ရန်မလိုအပ်သော firewall port တိုင်းကို ပိတ်ပါ။ ဖြစ်နိုင်သည့်နေရာတွင် ယုံကြည်စိတ်ချရသော IP address များအတွက်သာ administrative service များဖြစ်သည့် SSH၊ control panel များ၊ database များကို ဖွင့်ပါ။

အဆင့် ၄။ ပြင်ဆင်ပြီးသား kernel ကို install လုပ်ပြီးနောက်

1. ဆာဗာကို ပြန်လည်စတင်ပြီး အဆင့် ၁ မှ command များကို အသုံးပြု၍ fixed kernel လည်ပတ်နေကြောင်း အတည်ပြုပါ။
2. ယာယီစည်းမျဉ်းကို သင်ဖယ်ရှားနိုင်သည်-
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. MPTCP လိုအပ်ပါက၊ setting ကိုပြန်ထားပါ- delete /etc/sysctl.d/99-disable-mptcp.conf နှင့်ပြေး sysctl -w net.mptcp.enabled=1.

တစ်ခုခုမှားနေရင်

kernel update လုပ်ပြီးနောက် သင့် server boot မတက်ပါက control panel ရှိ VNC console မှတစ်ဆင့် ချိတ်ဆက်ပြီး boot menu ရှိ ယခင် kernel ကို ရွေးချယ်ပါ။ သင်ကိုယ်တိုင် လုပ်ဆောင်နိုင်မသေချာပါက သို့မဟုတ် update လုပ်ရာတွင် အကူအညီလိုအပ်ပါက ကျွန်ုပ်တို့၏ support team ကို ဆက်သွယ်ပါ။