Kritieke Linux-kernelkwetsbaarheid CVE-2026-98432: Hoe u uw VPS kunt controleren en bijwerken

In oktober 2026 werd een kritieke kwetsbaarheid, CVE-2026-98432 , ontdekt in de Linux-kernel, met een score van 9.8 op de CVSS-schaal. Deze kwetsbaarheid beïnvloedt de manier waarop inkomende IPv4 TCP-verbindingen worden verwerkt en stelt een aanvaller onder bepaalde omstandigheden in staat om op afstand root-toegang tot een server te verkrijgen – zonder wachtwoord en zonder dat de beheerder actie hoeft te ondernemen.

Hieronder vindt u informatie over wie getroffen is, hoe u uw server kunt controleren en hoe u deze kunt beschermen. Alle commando's worden uitgevoerd als root of met sudo.

De kwetsbaarheid in het kort

• Wat het is: Een use-after-free-bug in de code die IPv4 TCP-verbindingen opzet, veroorzaakt door een raceconditie. De aanvaller stuurt speciaal geconstrueerde pakketten naar elke open TCP-poort.
• Betrokken kernels: Elke versie sinds Linux 4.4, wat praktisch elke huidige distributie betekent.
• IPv6 wordt niet beïnvloed door de hoofdfout.
• Hoe reëel de dreiging is: Onderzoekers van Anthropic hebben een werkende exploitketen gedemonstreerd waarmee roottoegang werd verkregen op een server met Multipath TCP (MPTCP) ingeschakeld in ongeveer 53 minuten. De exploitcode is niet openbaar gemaakt.
• Aanvallen in het wild: Per 1 november 2026 zijn er geen meldingen van misbruik. Dat is een reden om rustig te updaten, niet om het uit te stellen.

Go-services brengen een apart risico met zich mee. Sinds Go 1.24 luisteren serverprogramma's op Linux standaard via MPTCP naar poorten wanneer de kernel dit toestaat. Een beheerder weet mogelijk niet eens dat zijn server dergelijke verbindingen accepteert. Xray is een populair programma dat op deze manier werkt; de ontwikkelaars hebben al een noodversie uitgebracht, v26.10.31, waarin MPTCP standaard is uitgeschakeld.

Elke VPS draait zijn eigen kernel, dus u moet de kernel op uw server zelf bijwerken. Wij werken de virtualisatieknooppunten zelf bij.

Is er een oplossing voor uw systeem?

Status per 1 november 2026. Er worden bijna dagelijks updates uitgebracht — raadpleeg de links aan het einde van dit artikel voor de actuele status.

Stap 1. Controleer welke kernel je gebruikt.

Ontdek welke versie van de actieve kernel er is:

uname -r

Het versienummer alleen zegt niets: distributies implementeren fixes in hun eigen kernels zonder de basisversie te wijzigen. Het is betrouwbaarder om de changelog van het kernelpakket te raadplegen — als daarin het CVE-nummer wordt vermeld, is de fix al geïnstalleerd.

Debian en Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Op Debian, de uname -v Het commando toont ook de volledige pakketversie van de actieve kernel: vergelijk deze met de tabel hierboven.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Als het commando niets afdrukt, is de draaiende kernel kwetsbaar.

Controleer vervolgens welke services verbindingen via MPTCP accepteren. Servers zoals deze waren het doelwit van de getoonde aanval:

ss -lnMp

Een lege uitvoer betekent dat er geen MPTCP-luisteraars zijn.

Stap 2. Installeer de gecorrigeerde kernel.

Maak een back-up of momentopname van uw server voordat u de kernel bijwerkt.

Debian 12 en 13

De gecorrigeerde kernels bevinden zich in de beveiligingsrepository. Zorg ervoor dat deze is ingeschakeld:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Als er niets wordt gevonden, voeg dan toe security.debian.org repository voor uw release. Werk vervolgens het systeem bij:

apt update
apt full-upgrade
reboot

Ubuntu

De gecorrigeerde kernels zijn nog niet uitgebracht. Controleer regelmatig op updates:

apt update
apt list --upgradable | grep linux-image

Als uw server is gekoppeld aan Ubuntu Pro, kunt u het herstelplan raadplegen:

pro fix CVE-2026-98432 --dry-run

Zodra de oplossing beschikbaar is, installeer deze en herstart de computer:

apt update
apt full-upgrade
reboot

Breng tot die tijd de tijdelijke bescherming uit stap 3 aan.

AlmaLinux 8, 9, 10

De gecorrigeerde kernels zijn momenteel alleen beschikbaar in de testrepository. Installeer ze als u dat op een productieserver wilt doen en zorg ervoor dat u een snapshot maakt voordat u de update uitvoert.

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Na het opnieuw opstarten, vergelijk uname -r met de versies in de bovenstaande tabel. Als u liever geen testpakketten installeert, activeer dan de tijdelijke beveiliging en wacht tot de oplossing in de hoofdrepository is opgenomen.

Rocky Linux en andere op RHEL gebaseerde systemen

Er is nog geen oplossing. Je kunt de ontwikkelingen volgen via:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Zodra de oplossing is uitgebracht:

dnf update kernel
reboot

Na de update is een herstart vereist.

De nieuwe kernel wordt pas na een herstart actief. Om te controleren of een herstart nodig is:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Na het opnieuw opstarten, herhaalt u de controle uit stap 1.

Stap 3. Tijdelijke bescherming totdat een gecorrigeerde kernel beschikbaar is.

Deze maatregelen verkleinen het risico, maar vervangen geen kernelupdate.

Blokkeer de triggerpakketten

De aanval maakt gebruik van TCP-pakketten met IP-opties in de IPv4-header. Deze komen praktisch nooit voor in normaal verkeer en RFC 7126 beveelt al aan om ze te blokkeren. De onderstaande nftables-regel blokkeert alle inkomende IPv4 TCP-pakketten met opties en heeft geen invloed op IPv6, UDP of ICMP. Deze regel werkt samen met ufw en firewalld.

Installeer nftables als het nog niet geïnstalleerd is:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Maak het regelbestand aan:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Om de regel na elke herstart te herstellen, maakt u een systemd-service aan:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Controleer of de regel is geladen:

nft list table ip cve_2026_98432

Als u de nftables-service opnieuw start met een globale wijziging flush ruleset regel, run systemctl restart cve-2026-98432 daarna.

Belangrijk: pas deze regel niet toe op netwerken die CIPSO-labels gebruiken (SELinux of Smack NetLabel) — daar worden normaal gesproken IP-opties gebruikt. Als uw server verkeer routeert voor andere machines, zal de regel ook hun TCP-pakketten met IP-opties blokkeren.

Schakel MPTCP uit als je het niet nodig hebt.

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Deze instelling voorkomt alleen dat nieuwe Voorkom dat er MPTCP-sockets worden aangemaakt. Services die al actief zijn, blijven luisteren via MPTCP, dus herstart alle services die worden vermeld door ss -lnMp en zorg ervoor dat de uitvoer nu leeg is.

Op AlmaLinux is MPTCP standaard uitgeschakeld, tenzij je het zelf hebt ingeschakeld.

MPTCP uitschakelen in Go-programma's

Voor services die zijn gebouwd met Go 1.24 of later, kunt u MPTCP uitschakelen met een omgevingsvariabele. Bijvoorbeeld voor een service genaamd myservice:

systemctl edit myservice

Voeg het volgende toe aan het bestand dat wordt geopend:

[Service]
Environment=GODEBUG=multipathtcp=0

Start de service vervolgens opnieuw:

systemctl restart myservice

Update röntgenfoto

Als uw server Xray gebruikt, update deze dan naar versie 26.10.31 of later. De vorige versie, 26.10.29, is door de ontwikkelaars teruggetrokken. Deze update schakelt MPTCP uit, maar verhelpt het kernelprobleem niet, dus een kernelupdate is nog steeds vereist.

Controleer nog een instelling.

Een tweede, minder strikte exploitatiemogelijkheid vereist dat verzoekmigratie is ingeschakeld. Deze functie is standaard uitgeschakeld – zorg ervoor dat deze is ingeschakeld:

sysctl net.ipv4.tcp_migrate_req

Het commando moet afdrukken 0.

Beperk de toegang tot uw diensten.

Sluit alle firewallpoorten die niet vanaf internet bereikbaar hoeven te zijn. Open waar mogelijk administratieve services – SSH, controlepanelen, databases – alleen voor vertrouwde IP-adressen.

Stap 4. Na het installeren van de gecorrigeerde kernel

1. Herstart de server en gebruik de commando's uit stap 1 om te controleren of de herstelde kernel actief is.
2. Je kunt de tijdelijke regel verwijderen:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Als je MPTCP nodig hebt, herstel dan de instelling: verwijderen /etc/sysctl.d/99-disable-mptcp.conf en loop sysctl -w net.mptcp.enabled=1.

Als er iets misgaat

Als uw server na de kernelupdate niet opstart, maak dan verbinding via de VNC-console in het configuratiescherm en selecteer de vorige kernel in het opstartmenu. Als u niet zeker weet of u dit zelf kunt doen, of als u hulp nodig hebt bij de update, neem dan contact op met ons supportteam.