Kritisk sikkerhetsproblem i Linux-kjernen CVE-2026-98432: Slik sjekker og oppdaterer du VPS-en din

I oktober 2026 ble en kritisk sårbarhet, CVE-2026-98432 , funnet i Linux-kjernen, vurdert til 9.8 av 10 på CVSS-skalaen. Den påvirker hvordan innkommende IPv4 TCP-tilkoblinger håndteres, og lar under visse forhold en angriper få root-tilgang til en server eksternt – uten passord og uten at administratoren trenger å gjøre noe.

Nedenfor finner du hvem som er berørt, hvordan du sjekker serveren din og hvordan du beskytter den. Alle kommandoer kjøres som root eller med sudo.

Sårbarheten i korte trekk

• Hva det er: en «use-etter-free»-feil i koden som setter opp IPv4 TCP-tilkoblinger, forårsaket av en kappløpstilstand. Angriperen sender spesiallagde pakker til en hvilken som helst åpen TCP-port.
• Berørte kjerner: alle versjoner siden Linux 4.4, som betyr praktisk talt alle nåværende distribusjoner.
• IPv6 er ikke påvirket av hovedfeilen.
• Hvor reell trusselen er: Antropiske forskere demonstrerte en fungerende angrepskjede som fikk root-tilgang på en server med Multipath TCP (MPTCP) aktivert på omtrent 53 minutter. Angrepskoden er ikke publisert.
• Angrep i naturen: Per 1. november 2026 er det ikke rapportert om noen utnyttelse. Det er en grunn til å oppdatere i ro og ro, ikke en grunn til å utsette det.

Go-tjenester har en egen risiko. Siden Go 1.24 lytter serverprogrammer på Linux på porter via MPTCP som standard når kjernen tillater det. En administrator vet kanskje ikke engang at serveren deres godtar slike tilkoblinger. Blant populære programmer fungerer Xray på denne måten – utviklerne har allerede gitt ut en nødversjon, v26.10.31, som deaktiverer MPTCP som standard.

Hver VPS kjører sin egen kjerne, så du må oppdatere kjernen inne i serveren din selv. Vi oppdaterer virtualiseringsnodene selv.

Finnes det en løsning for systemet ditt

Status per 1. november 2026. Rettelser dukker opp nesten daglig – sjekk lenkene på slutten av denne artikkelen for gjeldende status.

Trinn 1. Sjekk hvilken kjerne du kjører

Finn ut hvilken versjon av kjernen som kjører:

uname -r

Versjonsnummeret alene forteller deg ingenting: distribusjoner backporterer rettelser til sine egne kjerner uten å endre basisversjonen. Det er mer pålitelig å sjekke endringsloggen for kjernepakken – hvis den nevner CVE-nummeret, er rettelsen allerede installert.

Debian og Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

På Debian, uname -v Kommandoen viser også den fullstendige pakkeversjonen av den kjørende kjernen: sammenlign den med tabellen ovenfor.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Hvis kommandoen ikke skriver ut noe, er den kjørende kjernen sårbar.

Sjekk deretter hvilke tjenester som godtar tilkoblinger via MPTCP. Servere som disse var målet i det demonstrerte angrepet:

ss -lnMp

Tom utdata betyr at det ikke finnes noen MPTCP-lyttere.

Trinn 2. Installer den reparerte kjernen

Ta en sikkerhetskopi eller et øyeblikksbilde av serveren din før du oppdaterer kjernen.

Debian 12 og 13

De fiksede kjernene er i sikkerhetslageret. Sørg for at det er aktivert:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Hvis ingenting blir funnet, legg til security.debian.org depotet for utgivelsen din. Oppdater deretter systemet:

apt update
apt full-upgrade
reboot

Ubuntu

Rettede kjerner er ikke utgitt ennå. Se etter oppdateringer:

apt update
apt list --upgradable | grep linux-image

Hvis serveren din er koblet til Ubuntu Pro, kan du sjekke reparasjonsplanen:

pro fix CVE-2026-98432 --dry-run

Når oppdateringen er utgitt, installer den og start den på nytt:

apt update
apt full-upgrade
reboot

Inntil da, sørg for å bruke den midlertidige beskyttelsen fra trinn 3.

AlmaLinux 8, 9, 10

Faste kjerner er for øyeblikket bare tilgjengelige i testdepotet. Installer dem hvis du er komfortabel med å gjøre det på en produksjonsserver, og sørg for å ta et øyeblikksbilde før du oppdaterer:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Etter omstart, sammenlign uname -r med versjonene i tabellen ovenfor. Hvis du heller ikke vil installere testpakker, kan du bruke den midlertidige beskyttelsen og vente til reparasjonen når hovedlageret.

Rocky Linux og andre RHEL-baserte systemer

Det finnes ingen løsning ennå. Du kan se etter det med:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Når fiksen er utgitt:

dnf update kernel
reboot

Etter oppdatering: en omstart er nødvendig

Den nye kjernen trer først i kraft etter en omstart. Slik sjekker du om en er nødvendig:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Etter omstart, gjenta kontrollen fra trinn 1.

Trinn 3. Midlertidig beskyttelse inntil en fast kjerne er tilgjengelig

Disse tiltakene reduserer risikoen, men erstatter ikke en kjerneoppdatering.

Blokker triggerpakkene

Angrepet bruker TCP-pakker med IP-alternativer i IPv4-headeren. De dukker praktisk talt aldri opp i normal trafikk, og RFC 7126 anbefaler allerede å droppe dem. nftables-regelen nedenfor dropper alle innkommende IPv4 TCP-pakker med alternativer og påvirker ikke IPv6, UDP eller ICMP. Den fungerer sammen med ufw og firewalld.

Installer nftables hvis det ikke allerede er installert:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Opprett regelfilen:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

For å gjenopprette regelen etter hver omstart, opprett en systemd-tjeneste:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Sjekk at regelen er lastet inn:

nft list table ip cve_2026_98432

Hvis du starter nftables-tjenesten på nytt med en global flush ruleset regel, løp systemctl restart cve-2026-98432 etterpå.

Viktig: Ikke bruk denne regelen på nettverk som bruker CIPSO-etiketter (SELinux eller Smack NetLabel) – IP-alternativer brukes vanligvis der. Hvis serveren din ruter trafikk for andre maskiner, vil regelen også slippe TCP-pakkene deres med IP-alternativer.

Deaktiver MPTCP hvis du ikke trenger det

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Denne innstillingen forhindrer bare nytt MPTCP-sockets opprettes. Tjenester som allerede kjører vil fortsette å lytte via MPTCP, så start alle tjenester som er oppført av ss -lnMp og sørg for at utgangen nå er tom.

På AlmaLinux er MPTCP deaktivert som standard med mindre du har aktivert det selv.

Deaktiver MPTCP i Go-programmer

For tjenester bygget med Go 1.24 eller nyere, kan du deaktivere MPTCP med en miljøvariabel. For eksempel, for en tjeneste kalt myservice:

systemctl edit myservice

Legg til følgende i filen som åpnes:

[Service]
Environment=GODEBUG=multipathtcp=0

Start deretter tjenesten på nytt:

systemctl restart myservice

Oppdater røntgenbilde

Hvis serveren din kjører Xray, oppdater den til v26.10.31 eller nyere. Den forrige versjonen, v26.10.29, har blitt trukket tilbake av utviklerne. Denne oppdateringen deaktiverer MPTCP, men fikser ikke kjernen, så en kjerneoppdatering er fortsatt nødvendig.

Sjekk én innstilling til

En annen, smalere utnyttelsessti krever at forespørselsmigrering er aktivert. Den er deaktivert som standard – sørg for det:

sysctl net.ipv4.tcp_migrate_req

Kommandoen skal skrives ut 0.

Begrens tilgangen til tjenestene dine

Lukk alle brannmurporter som ikke trenger å være tilgjengelige fra internett. Der det er mulig, åpne administrative tjenester – SSH, kontrollpaneler, databaser – kun for klarerte IP-adresser.

Trinn 4. Etter installasjon av den reparerte kjernen

1. Start serveren på nytt og bruk kommandoene fra trinn 1 for å bekrefte at den fiksede kjernen kjører.
2. Du kan fjerne den midlertidige regelen:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Hvis du trenger MPTCP, gjenopprett innstillingen: slett /etc/sysctl.d/99-disable-mptcp.conf og løp sysctl -w net.mptcp.enabled=1.

Hvis noe går galt

Hvis serveren din ikke starter opp etter kjerneoppdateringen, kobler du til via VNC-konsollen i kontrollpanelet og velger den forrige kjernen i oppstartsmenyen. Hvis du er usikker på om du kan gjøre dette selv, eller trenger hjelp med oppdateringen, kan du kontakte supportteamet vårt.