क्रिटिकल लिनक्स कर्नेल भेद्यता CVE-2026-98432: तपाईंको VPS कसरी जाँच गर्ने र अपडेट गर्ने

अक्टोबर २०२६ मा, लिनक्स कर्नेलमा एउटा महत्वपूर्ण जोखिम, CVE-2026-98432 , फेला पर्यो, जसलाई CVSS स्केलमा १० मध्ये ९.८ मूल्याङ्कन गरिएको थियो। यसले आगमन IPv4 TCP जडानहरू कसरी ह्यान्डल गरिन्छ भन्ने कुरालाई असर गर्छ र, निश्चित अवस्थाहरूमा, आक्रमणकारीलाई टाढाबाट सर्भरमा रूट पहुँच प्राप्त गर्न अनुमति दिन्छ — कुनै पासवर्ड बिना र प्रशासकबाट कुनै कार्य आवश्यक पर्दैन।

तल को प्रभावित छ, तपाईंको सर्भर कसरी जाँच गर्ने र यसलाई कसरी सुरक्षित गर्ने भन्ने बारे जानकारी दिइएको छ। सबै आदेशहरू रूटको रूपमा वा sudo.

संक्षेपमा जोखिम

• यो के हो: रेस अवस्थाको कारणले गर्दा IPv4 TCP जडानहरू सेटअप गर्ने कोडमा प्रयोग-पछि-मुक्त बग। आक्रमणकारीले कुनै पनि खुला TCP पोर्टमा विशेष रूपमा तयार पारिएका प्याकेटहरू पठाउँछ।
• प्रभावित कर्नेलहरू: Linux ४.४ देखि हरेक संस्करण, जसको अर्थ व्यावहारिक रूपमा हरेक हालको वितरण हो।
• IPv6 मुख्य बगबाट प्रभावित हुँदैन।
• खतरा कति वास्तविक छ: मानवशास्त्री अनुसन्धानकर्ताहरूले लगभग ५३ मिनेटमा मल्टिपाथ TCP (MPTCP) सक्षम पारिएको सर्भरमा रूट पहुँच प्राप्त गर्ने काम गर्ने एक्सप्लोइट चेन प्रदर्शन गरे। एक्सप्लोइट कोड प्रकाशित गरिएको छैन।
• जंगलमा हुने आक्रमणहरू: नोभेम्बर १, २०२६ सम्म, कुनै पनि शोषण रिपोर्ट गरिएको छैन। त्यो शान्तपूर्वक अपडेट गर्ने कारण हो, यसलाई स्थगित गर्ने कारण होइन।

गो सेवाहरूले छुट्टै जोखिम बोक्छन्। गो १.२४ देखि, लिनक्समा सर्भर प्रोग्रामहरूले कर्नेलले अनुमति दिँदा पूर्वनिर्धारित रूपमा MPTCP मार्फत पोर्टहरूमा सुन्छन्। प्रशासकलाई थाहा नहुन सक्छ कि उनीहरूको सर्भरले यस्ता जडानहरू स्वीकार गर्दछ। लोकप्रिय कार्यक्रमहरू मध्ये, Xray ले यसरी काम गर्छ — यसका विकासकर्ताहरूले पहिले नै आपतकालीन संस्करण, v26.10.31 जारी गरिसकेका छन्, जसले पूर्वनिर्धारित रूपमा MPTCP लाई असक्षम पार्छ।

प्रत्येक VPS ले आफ्नै कर्नेल चलाउँछ, त्यसैले तपाईंले आफ्नो सर्भर भित्रको कर्नेल आफैं अपडेट गर्नुपर्छ। हामी आफैं भर्चुअलाइजेशन नोडहरू अपडेट गर्छौं।

के तपाईंको प्रणालीको लागि कुनै समाधान छ?

नोभेम्बर १, २०२६ सम्मको स्थिति। समाधानहरू लगभग दैनिक रूपमा आइरहेका छन् — हालको स्थितिको लागि यस लेखको अन्त्यमा लिङ्कहरू जाँच गर्नुहोस्।

चरण १. तपाईंले कुन कर्नेल चलाइरहनुभएको छ भनेर जाँच गर्नुहोस्।

चलिरहेको कर्नेलको संस्करण पत्ता लगाउनुहोस्:

uname -r

संस्करण नम्बरले मात्र तपाईंलाई केही भन्दैन: वितरण ब्याकपोर्टले आधार संस्करण परिवर्तन नगरी आफ्नै कर्नेलमा फिक्स गर्छ। कर्नेल प्याकेज चेन्जलग जाँच गर्नु बढी भरपर्दो हुन्छ — यदि यसले CVE नम्बर उल्लेख गर्छ भने, फिक्स पहिले नै स्थापित छ।

डेबियन र उबुन्टु:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

डेबियनमा, uname -v कमाण्डले चलिरहेको कर्नेलको पूर्ण प्याकेज संस्करण पनि देखाउँछ: माथिको तालिकासँग तुलना गर्नुहोस्।

अल्मालिनक्स, रकी लिनक्स, आरएचईएल, ओरेकल लिनक्स:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

यदि कमाण्डले केही पनि प्रिन्ट गर्दैन भने, चलिरहेको कर्नेल कमजोर हुन्छ।

अर्को, MPTCP मार्फत कुन सेवाहरूले जडानहरू स्वीकार गर्छन् भनेर जाँच गर्नुहोस्। प्रदर्शन गरिएको आक्रमणमा यस्ता सर्भरहरू लक्षित थिए:

ss -lnMp

खाली आउटपुटको अर्थ MPTCP श्रोताहरू छैनन्।

चरण २. निश्चित कर्नेल स्थापना गर्नुहोस्

कर्नेल अपडेट गर्नु अघि आफ्नो सर्भरको ब्याकअप वा स्न्यापसट लिनुहोस्।

डेबियन १२ र १३

निश्चित कर्नेलहरू सुरक्षा भण्डारमा छन्। यो सक्षम छ भनी सुनिश्चित गर्नुहोस्:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

यदि केहि भेटिएन भने, थप्नुहोस् security.debian.org तपाईंको रिलीजको लागि भण्डार। त्यसपछि प्रणाली अपडेट गर्नुहोस्:

apt update
apt full-upgrade
reboot

Ubuntu

फिक्स्ड कर्नेलहरू अझै जारी गरिएका छैनन्। अपडेटहरूको लागि जाँच गर्नुहोस्:

apt update
apt list --upgradable | grep linux-image

यदि तपाईंको सर्भर उबुन्टु प्रोमा संलग्न छ भने, तपाईं फिक्स प्लान जाँच गर्न सक्नुहुन्छ:

pro fix CVE-2026-98432 --dry-run

समाधान जारी भएपछि, यसलाई स्थापना गर्नुहोस् र रिबुट गर्नुहोस्:

apt update
apt full-upgrade
reboot

त्यतिन्जेलसम्म, चरण ३ बाट अस्थायी सुरक्षा लागू गर्न निश्चित गर्नुहोस्।

अल्मालिनक्स ८, ९, १०

फिक्स्ड कर्नेलहरू हाल परीक्षण भण्डारमा मात्र उपलब्ध छन्। यदि तपाईंलाई उत्पादन सर्भरमा त्यसो गर्न सहज लाग्छ भने तिनीहरूलाई स्थापना गर्नुहोस्, र अद्यावधिक गर्नु अघि स्न्यापसट लिन निश्चित गर्नुहोस्:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

रिबुट गरेपछि, तुलना गर्नुहोस् uname -r माथिको तालिकामा भएका संस्करणहरूसँग। यदि तपाईं परीक्षण प्याकेजहरू स्थापना गर्न चाहनुहुन्न भने, अस्थायी सुरक्षा लागू गर्नुहोस् र मुख्य भण्डारमा समाधान पुग्नको लागि पर्खनुहोस्।

रकी लिनक्स र अन्य RHEL-आधारित प्रणालीहरू

अहिलेसम्म कुनै समाधान भएको छैन। तपाईं यसको लागि निम्न कुराहरू प्रयोग गर्न सक्नुहुन्छ:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

समाधान जारी भएपछि:

dnf update kernel
reboot

अद्यावधिक गरेपछि: रिबुट आवश्यक छ

नयाँ कर्नेल रिबुट गरेपछि मात्र प्रभावकारी हुन्छ। आवश्यक छ कि छैन भनेर जाँच गर्न:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

रिबुट गरेपछि, चरण १ बाट जाँच दोहोर्याउनुहोस्।

चरण ३. निश्चित कर्नेल उपलब्ध नभएसम्म अस्थायी सुरक्षा

यी उपायहरूले जोखिम कम गर्छन् तर कर्नेल अपडेटलाई प्रतिस्थापन गर्दैनन्।

ट्रिगर प्याकेटहरू रोक्नुहोस्

आक्रमणले IPv4 हेडरमा IP विकल्पहरू भएका TCP प्याकेटहरू प्रयोग गर्दछ। तिनीहरू व्यावहारिक रूपमा कहिल्यै सामान्य ट्राफिकमा देखा पर्दैनन्, र RFC 7126 ले पहिले नै तिनीहरूलाई छोड्न सिफारिस गर्दछ। तलको nftables नियमले विकल्पहरू भएका सबै आगमन IPv4 TCP प्याकेटहरू छोड्छ र IPv6, UDP वा ICMP लाई असर गर्दैन। यो ufw र firewalld सँगसँगै काम गर्दछ।

यदि nftables पहिले नै स्थापित छैन भने स्थापना गर्नुहोस्:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

नियम फाइल सिर्जना गर्नुहोस्:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

प्रत्येक रिबुट पछि नियम पुनर्स्थापित गर्न, systemd सेवा सिर्जना गर्नुहोस्:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

नियम लोड भएको छ कि छैन जाँच गर्नुहोस्:

nft list table ip cve_2026_98432

यदि तपाईंले ग्लोबलको साथ nftables सेवा पुन: सुरु गर्नुभयो भने flush ruleset नियम बनाउनुहोस्, चलाउनुहोस् systemctl restart cve-2026-98432 पछि

महत्त्वपूर्ण: CIPSO लेबलहरू (SELinux वा Smack NetLabel) प्रयोग गर्ने नेटवर्कहरूमा यो नियम लागू नगर्नुहोस् — त्यहाँ सामान्यतया IP विकल्पहरू प्रयोग गरिन्छ। यदि तपाईंको सर्भरले अन्य मेसिनहरूको लागि ट्राफिक रुट गर्छ भने, नियमले IP विकल्पहरू सहितको तिनीहरूको TCP प्याकेटहरू पनि छोड्नेछ।

यदि तपाईंलाई आवश्यक छैन भने MPTCP असक्षम पार्नुहोस्।

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

यो सेटिङले मात्र रोक्छ नयाँ MPTCP सकेटहरू सिर्जना हुनबाट रोकियो। पहिले नै चलिरहेका सेवाहरूले MPTCP मार्फत सुन्न जारी राख्नेछन्, त्यसैले सूचीबद्ध प्रत्येक सेवा पुन: सुरु गर्नुहोस्। ss -lnMp र निश्चित गर्नुहोस् कि यसको आउटपुट अब खाली छ।

AlmaLinux मा, MPTCP पूर्वनिर्धारित रूपमा असक्षम पारिएको हुन्छ जबसम्म तपाईंले यसलाई आफैं सक्षम पार्नुभएको छैन।

गो कार्यक्रमहरूमा MPTCP असक्षम पार्नुहोस्

Go १.२४ वा पछिल्ला संस्करणहरूसँग निर्मित सेवाहरूको लागि, तपाईंले वातावरण चरको साथ MPTCP लाई असक्षम गर्न सक्नुहुन्छ। उदाहरणका लागि, भनिने सेवाको लागि myservice:

systemctl edit myservice

खुल्ने फाइलमा निम्न थप्नुहोस्:

[Service]
Environment=GODEBUG=multipathtcp=0

त्यसपछि सेवा पुन: सुरु गर्नुहोस्:

systemctl restart myservice

एक्सरे अपडेट गर्नुहोस्

यदि तपाईंको सर्भरले Xray चलाउँछ भने, यसलाई v26.10.31 वा पछिको संस्करणमा अपडेट गर्नुहोस्। अघिल्लो संस्करण, v26.10.29, यसको विकासकर्ताहरूले फिर्ता लिएका छन्। यो अपडेटले MPTCP लाई असक्षम पार्छ तर कर्नेललाई ठीक गर्दैन, त्यसैले कर्नेल अपडेट अझै पनि आवश्यक छ।

अर्को एउटा सेटिङ जाँच गर्नुहोस्

दोस्रो, साँघुरो शोषण मार्गको लागि अनुरोध माइग्रेसन सक्षम गर्न आवश्यक छ। यो पूर्वनिर्धारित रूपमा बन्द छ - यो निश्चित गर्नुहोस्:

sysctl net.ipv4.tcp_migrate_req

आदेश प्रिन्ट गर्नुपर्छ 0.

आफ्ना सेवाहरूमा पहुँच प्रतिबन्धित गर्नुहोस्

इन्टरनेटबाट पहुँचयोग्य नहुने हरेक फायरवाल पोर्ट बन्द गर्नुहोस्। सम्भव भएसम्म, विश्वसनीय IP ठेगानाहरूमा मात्र प्रशासनिक सेवाहरू - SSH, नियन्त्रण प्यानलहरू, डाटाबेसहरू - खोल्नुहोस्।

चरण ४. निश्चित कर्नेल स्थापना गरेपछि

1. सर्भर रिबुट गर्नुहोस् र निश्चित कर्नेल चलिरहेको छ भनी पुष्टि गर्न चरण १ बाट आदेशहरू प्रयोग गर्नुहोस्।
2. तपाईंले अस्थायी नियम हटाउन सक्नुहुन्छ:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. यदि तपाईंलाई MPTCP चाहिन्छ भने, सेटिङ पुनर्स्थापित गर्नुहोस्: मेटाउनुहोस् /etc/sysctl.d/99-disable-mptcp.conf अनि दौड sysctl -w net.mptcp.enabled=1.

यदि केहि गलत भयो भने

यदि तपाईंको सर्भर कर्नेल अपडेट पछि बुट भएन भने, नियन्त्रण प्यानलमा रहेको VNC कन्सोल मार्फत जडान गर्नुहोस् र बुट मेनुमा अघिल्लो कर्नेल चयन गर्नुहोस्। यदि तपाईं आफैं यो गर्न सक्नुहुन्छ भन्ने कुरामा निश्चित हुनुहुन्न, वा अद्यावधिकको लागि मद्दत चाहिन्छ भने, हाम्रो समर्थन टोलीलाई सम्पर्क गर्नुहोस्।