ਅਕਤੂਬਰ 2026 ਵਿੱਚ, ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਕਮਜ਼ੋਰੀ, CVE-2026-98432 , ਲੀਨਕਸ ਕਰਨਲ ਵਿੱਚ ਪਾਈ ਗਈ ਸੀ, ਜਿਸਨੂੰ CVSS ਸਕੇਲ 'ਤੇ 10 ਵਿੱਚੋਂ 9.8 ਦਰਜਾ ਦਿੱਤਾ ਗਿਆ ਸੀ। ਇਹ ਆਉਣ ਵਾਲੇ IPv4 TCP ਕਨੈਕਸ਼ਨਾਂ ਨੂੰ ਕਿਵੇਂ ਸੰਭਾਲਿਆ ਜਾਂਦਾ ਹੈ, ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ ਅਤੇ, ਕੁਝ ਸ਼ਰਤਾਂ ਅਧੀਨ, ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਰਿਮੋਟਲੀ ਸਰਵਰ ਤੱਕ ਰੂਟ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ - ਬਿਨਾਂ ਕਿਸੇ ਪਾਸਵਰਡ ਦੇ ਅਤੇ ਪ੍ਰਸ਼ਾਸਕ ਤੋਂ ਕੋਈ ਕਾਰਵਾਈ ਦੀ ਲੋੜ ਨਹੀਂ।
ਹੇਠਾਂ ਦੱਸਿਆ ਗਿਆ ਹੈ ਕਿ ਕੌਣ ਪ੍ਰਭਾਵਿਤ ਹੁੰਦਾ ਹੈ, ਆਪਣੇ ਸਰਵਰ ਦੀ ਜਾਂਚ ਕਿਵੇਂ ਕਰਨੀ ਹੈ ਅਤੇ ਇਸਨੂੰ ਕਿਵੇਂ ਸੁਰੱਖਿਅਤ ਕਰਨਾ ਹੈ। ਸਾਰੀਆਂ ਕਮਾਂਡਾਂ ਰੂਟ ਦੇ ਤੌਰ 'ਤੇ ਜਾਂ ਨਾਲ ਚਲਾਈਆਂ ਜਾਂਦੀਆਂ ਹਨ sudo.
ਸੰਖੇਪ ਵਿੱਚ ਕਮਜ਼ੋਰੀ
- ਇਹ ਕੀ ਹੈ: ਕੋਡ ਵਿੱਚ ਇੱਕ ਵਰਤੋਂ-ਤੋਂ-ਮੁਕਤ ਬੱਗ ਜੋ IPv4 TCP ਕਨੈਕਸ਼ਨ ਸੈੱਟ ਕਰਦਾ ਹੈ, ਇੱਕ ਰੇਸ ਕੰਡੀਸ਼ਨ ਦੇ ਕਾਰਨ ਹੁੰਦਾ ਹੈ। ਹਮਲਾਵਰ ਕਿਸੇ ਵੀ ਖੁੱਲ੍ਹੇ TCP ਪੋਰਟ 'ਤੇ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ ਪੈਕੇਟ ਭੇਜਦਾ ਹੈ।
- ਪ੍ਰਭਾਵਿਤ ਕਰਨਲ: ਲੀਨਕਸ 4.4 ਤੋਂ ਬਾਅਦ ਹਰ ਵਰਜਨ, ਜਿਸਦਾ ਅਰਥ ਹੈ ਲਗਭਗ ਹਰ ਮੌਜੂਦਾ ਵੰਡ।
- IPv6 ਮੁੱਖ ਬੱਗ ਤੋਂ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੁੰਦਾ।
- ਖ਼ਤਰਾ ਕਿੰਨਾ ਅਸਲੀ ਹੈ: ਐਂਥ੍ਰੋਪਿਕ ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਇੱਕ ਕਾਰਜਸ਼ੀਲ ਐਕਸਪਲੋਇਟ ਚੇਨ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕੀਤਾ ਜਿਸਨੇ ਲਗਭਗ 53 ਮਿੰਟਾਂ ਵਿੱਚ ਮਲਟੀਪਾਥ TCP (MPTCP) ਸਮਰਥਿਤ ਸਰਵਰ 'ਤੇ ਰੂਟ ਐਕਸੈਸ ਪ੍ਰਾਪਤ ਕਰ ਲਿਆ। ਐਕਸਪਲੋਇਟ ਕੋਡ ਪ੍ਰਕਾਸ਼ਿਤ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ।
- ਜੰਗਲੀ ਹਮਲੇ: 1 ਨਵੰਬਰ, 2026 ਤੱਕ, ਕੋਈ ਵੀ ਸ਼ੋਸ਼ਣ ਦੀ ਰਿਪੋਰਟ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ। ਇਹ ਸ਼ਾਂਤੀ ਨਾਲ ਅੱਪਡੇਟ ਕਰਨ ਦਾ ਕਾਰਨ ਹੈ, ਇਸਨੂੰ ਟਾਲਣ ਦਾ ਕਾਰਨ ਨਹੀਂ।
ਗੋ ਸੇਵਾਵਾਂ ਇੱਕ ਵੱਖਰਾ ਜੋਖਮ ਰੱਖਦੀਆਂ ਹਨ। ਗੋ 1.24 ਤੋਂ, ਲੀਨਕਸ 'ਤੇ ਸਰਵਰ ਪ੍ਰੋਗਰਾਮ MPTCP ਰਾਹੀਂ ਪੋਰਟਾਂ 'ਤੇ ਡਿਫਾਲਟ ਤੌਰ 'ਤੇ ਸੁਣਦੇ ਹਨ ਜਦੋਂ ਵੀ ਕਰਨਲ ਇਸਨੂੰ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਇੱਕ ਪ੍ਰਸ਼ਾਸਕ ਨੂੰ ਇਹ ਵੀ ਪਤਾ ਨਹੀਂ ਹੋ ਸਕਦਾ ਕਿ ਉਨ੍ਹਾਂ ਦਾ ਸਰਵਰ ਅਜਿਹੇ ਕਨੈਕਸ਼ਨਾਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। ਪ੍ਰਸਿੱਧ ਪ੍ਰੋਗਰਾਮਾਂ ਵਿੱਚੋਂ, Xray ਇਸ ਤਰ੍ਹਾਂ ਕੰਮ ਕਰਦਾ ਹੈ - ਇਸਦੇ ਡਿਵੈਲਪਰਾਂ ਨੇ ਪਹਿਲਾਂ ਹੀ ਇੱਕ ਐਮਰਜੈਂਸੀ ਸੰਸਕਰਣ, v26.10.31 ਜਾਰੀ ਕੀਤਾ ਹੈ, ਜੋ ਡਿਫਾਲਟ ਤੌਰ 'ਤੇ MPTCP ਨੂੰ ਅਯੋਗ ਕਰ ਦਿੰਦਾ ਹੈ।
ਹਰੇਕ VPS ਆਪਣਾ ਕਰਨਲ ਚਲਾਉਂਦਾ ਹੈ, ਇਸ ਲਈ ਤੁਹਾਨੂੰ ਆਪਣੇ ਸਰਵਰ ਦੇ ਅੰਦਰ ਕਰਨਲ ਨੂੰ ਖੁਦ ਅਪਡੇਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਅਸੀਂ ਵਰਚੁਅਲਾਈਜੇਸ਼ਨ ਨੋਡਸ ਨੂੰ ਖੁਦ ਅਪਡੇਟ ਕਰਦੇ ਹਾਂ।
ਕੀ ਤੁਹਾਡੇ ਸਿਸਟਮ ਲਈ ਕੋਈ ਹੱਲ ਹੈ?
1 ਨਵੰਬਰ, 2026 ਤੱਕ ਦੀ ਸਥਿਤੀ। ਸੁਧਾਰ ਲਗਭਗ ਰੋਜ਼ਾਨਾ ਹੋ ਰਹੇ ਹਨ — ਮੌਜੂਦਾ ਸਥਿਤੀ ਲਈ ਇਸ ਲੇਖ ਦੇ ਅੰਤ ਵਿੱਚ ਲਿੰਕਾਂ ਦੀ ਜਾਂਚ ਕਰੋ।
| ਸਿਸਟਮ | ਸਥਿਤੀ | ਸਥਿਰ ਕਰਨਲ |
|---|---|---|
| ਡੇਬੀਅਨ 13 | ਸਥਿਰ | linux 6.12.113-1 |
| ਡੇਬੀਅਨ 12 | ਸਥਿਰ | linux 6.1.190-1 |
| ਉਬੰਤੂ 22.04, 24.04, 26.04 | ਠੀਕ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ | ਹਾਲੇ ਨਹੀਂ — ਅਸਥਾਈ ਸੁਰੱਖਿਆ ਦੀ ਵਰਤੋਂ ਕਰੋ |
| ਅਲਮਾਲਿਨਕਸ 8, 9, 10 | ਟੈਸਟਿੰਗ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਠੀਕ ਕਰੋ | 8: 4.18.0-553.180.2.el8_10 9: 5.14.0-687.61.2.el9_8 10: 6.12.0-211.69.2.el10_2 |
| ਰੌਕੀ ਲੀਨਕਸ, RHEL 8, 9, 10 | ਅਜੇ ਕੋਈ ਹੱਲ ਨਹੀਂ ਹੋਇਆ | ਅਸਥਾਈ ਸੁਰੱਖਿਆ ਦੀ ਵਰਤੋਂ ਕਰੋ |
| ਓਰੇਕਲ ਲੀਨਕਸ 7–10 (UEK) | ਸਥਿਰ | ਇੱਕ ਮਿਆਰੀ ਅੱਪਡੇਟ ਰਾਹੀਂ |
| ਸੂਸ / ਓਪਨਸੂਸ ਲੀਪ 16 | ਸਥਿਰ | ਇੱਕ ਮਿਆਰੀ ਅੱਪਡੇਟ ਰਾਹੀਂ |
ਕਦਮ 1. ਜਾਂਚ ਕਰੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜਾ ਕਰਨਲ ਚਲਾ ਰਹੇ ਹੋ।
ਚੱਲ ਰਹੇ ਕਰਨਲ ਦੇ ਸੰਸਕਰਣ ਦਾ ਪਤਾ ਲਗਾਓ:
uname -rਸਿਰਫ਼ ਵਰਜਨ ਨੰਬਰ ਹੀ ਤੁਹਾਨੂੰ ਕੁਝ ਨਹੀਂ ਦੱਸਦਾ: ਡਿਸਟਰੀਬਿਊਸ਼ਨ ਬੈਕਪੋਰਟ ਬੇਸ ਵਰਜਨ ਨੂੰ ਬਦਲੇ ਬਿਨਾਂ ਆਪਣੇ ਕਰਨਲਾਂ ਵਿੱਚ ਫਿਕਸ ਕਰਦੇ ਹਨ। ਕਰਨਲ ਪੈਕੇਜ ਚੇਂਜਲੌਗ ਦੀ ਜਾਂਚ ਕਰਨਾ ਵਧੇਰੇ ਭਰੋਸੇਮੰਦ ਹੈ — ਜੇਕਰ ਇਹ CVE ਨੰਬਰ ਦਾ ਜ਼ਿਕਰ ਕਰਦਾ ਹੈ, ਤਾਂ ਫਿਕਸ ਪਹਿਲਾਂ ਹੀ ਸਥਾਪਤ ਹੈ।
ਡੇਬੀਅਨ ਅਤੇ ਉਬੰਟੂ:
apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432ਡੇਬੀਅਨ 'ਤੇ, uname -v ਕਮਾਂਡ ਚੱਲ ਰਹੇ ਕਰਨਲ ਦਾ ਪੂਰਾ ਪੈਕੇਜ ਵਰਜਨ ਵੀ ਦਿਖਾਉਂਦੀ ਹੈ: ਇਸਦੀ ਤੁਲਨਾ ਉੱਪਰ ਦਿੱਤੀ ਸਾਰਣੀ ਨਾਲ ਕਰੋ।
ਅਲਮਾਲਿਨਕਸ, ਰੌਕੀ ਲੀਨਕਸ, ਆਰਐਚਈਐਲ, ਓਰੇਕਲ ਲੀਨਕਸ:
rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432ਜੇਕਰ ਕਮਾਂਡ ਕੁਝ ਵੀ ਨਹੀਂ ਪ੍ਰਿੰਟ ਕਰਦੀ, ਤਾਂ ਚੱਲ ਰਿਹਾ ਕਰਨਲ ਕਮਜ਼ੋਰ ਹੈ।
ਅੱਗੇ, ਜਾਂਚ ਕਰੋ ਕਿ ਕਿਹੜੀਆਂ ਸੇਵਾਵਾਂ MPTCP ਰਾਹੀਂ ਕਨੈਕਸ਼ਨ ਸਵੀਕਾਰ ਕਰਦੀਆਂ ਹਨ। ਇਸ ਤਰ੍ਹਾਂ ਦੇ ਸਰਵਰ ਪ੍ਰਦਰਸ਼ਿਤ ਹਮਲੇ ਵਿੱਚ ਨਿਸ਼ਾਨਾ ਸਨ:
ss -lnMpਖਾਲੀ ਆਉਟਪੁੱਟ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਕੋਈ MPTCP ਸੁਣਨ ਵਾਲੇ ਨਹੀਂ ਹਨ।
ਕਦਮ 2. ਸਥਿਰ ਕਰਨਲ ਇੰਸਟਾਲ ਕਰੋ
ਕਰਨਲ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਆਪਣੇ ਸਰਵਰ ਦਾ ਬੈਕਅੱਪ ਜਾਂ ਸਨੈਪਸ਼ਾਟ ਲਓ।
ਡੇਬੀਅਨ 12 ਅਤੇ 13
ਫਿਕਸਡ ਕਰਨਲ ਸੁਰੱਖਿਆ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਹਨ। ਯਕੀਨੀ ਬਣਾਓ ਕਿ ਇਹ ਸਮਰੱਥ ਹੈ:
grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/ਜੇਕਰ ਕੁਝ ਨਹੀਂ ਮਿਲਦਾ, ਤਾਂ ਸ਼ਾਮਲ ਕਰੋ security.debian.org ਤੁਹਾਡੀ ਰੀਲੀਜ਼ ਲਈ ਰਿਪੋਜ਼ਟਰੀ। ਫਿਰ ਸਿਸਟਮ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ:
apt update
apt full-upgrade
rebootਉਬਤੂੰ
ਫਿਕਸਡ ਕਰਨਲ ਅਜੇ ਜਾਰੀ ਨਹੀਂ ਕੀਤੇ ਗਏ ਹਨ। ਅੱਪਡੇਟਾਂ ਦੀ ਜਾਂਚ ਕਰੋ:
apt update
apt list --upgradable | grep linux-imageਜੇਕਰ ਤੁਹਾਡਾ ਸਰਵਰ ਉਬੰਟੂ ਪ੍ਰੋ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਫਿਕਸ ਪਲਾਨ ਦੀ ਜਾਂਚ ਕਰ ਸਕਦੇ ਹੋ:
pro fix CVE-2026-98432 --dry-runਇੱਕ ਵਾਰ ਫਿਕਸ ਜਾਰੀ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਇਸਨੂੰ ਸਥਾਪਿਤ ਕਰੋ ਅਤੇ ਰੀਬੂਟ ਕਰੋ:
apt update
apt full-upgrade
rebootਉਦੋਂ ਤੱਕ, ਕਦਮ 3 ਤੋਂ ਅਸਥਾਈ ਸੁਰੱਖਿਆ ਨੂੰ ਲਾਗੂ ਕਰਨਾ ਯਕੀਨੀ ਬਣਾਓ।
ਅਲਮਾਲਿਨਕਸ 8, 9, 10
ਫਿਕਸਡ ਕਰਨਲ ਇਸ ਵੇਲੇ ਸਿਰਫ਼ ਟੈਸਟਿੰਗ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਉਪਲਬਧ ਹਨ। ਜੇਕਰ ਤੁਸੀਂ ਪ੍ਰੋਡਕਸ਼ਨ ਸਰਵਰ 'ਤੇ ਅਜਿਹਾ ਕਰਨ ਵਿੱਚ ਅਰਾਮਦੇਹ ਹੋ ਤਾਂ ਉਹਨਾਂ ਨੂੰ ਸਥਾਪਿਤ ਕਰੋ, ਅਤੇ ਅੱਪਡੇਟ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ ਸਨੈਪਸ਼ਾਟ ਲੈਣਾ ਯਕੀਨੀ ਬਣਾਓ:
dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
rebootਰੀਬੂਟ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਤੁਲਨਾ ਕਰੋ uname -r ਉੱਪਰ ਦਿੱਤੀ ਸਾਰਣੀ ਵਿੱਚ ਦਿੱਤੇ ਸੰਸਕਰਣਾਂ ਦੇ ਨਾਲ। ਜੇਕਰ ਤੁਸੀਂ ਟੈਸਟਿੰਗ ਪੈਕੇਜ ਸਥਾਪਤ ਨਹੀਂ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹੋ, ਤਾਂ ਅਸਥਾਈ ਸੁਰੱਖਿਆ ਲਾਗੂ ਕਰੋ ਅਤੇ ਫਿਕਸ ਦੇ ਮੁੱਖ ਰਿਪੋਜ਼ਟਰੀ ਤੱਕ ਪਹੁੰਚਣ ਦੀ ਉਡੀਕ ਕਰੋ।
ਰੌਕੀ ਲੀਨਕਸ ਅਤੇ ਹੋਰ RHEL-ਅਧਾਰਿਤ ਸਿਸਟਮ
ਅਜੇ ਕੋਈ ਹੱਲ ਨਹੀਂ ਹੈ। ਤੁਸੀਂ ਇਸਦੀ ਨਿਗਰਾਨੀ ਇਸ ਤਰ੍ਹਾਂ ਕਰ ਸਕਦੇ ਹੋ:
dnf --refresh updateinfo info --all --cves CVE-2026-98432ਇੱਕ ਵਾਰ ਫਿਕਸ ਜਾਰੀ ਹੋਣ ਤੋਂ ਬਾਅਦ:
dnf update kernel
rebootਅੱਪਡੇਟ ਕਰਨ ਤੋਂ ਬਾਅਦ: ਇੱਕ ਰੀਬੂਟ ਲੋੜੀਂਦਾ ਹੈ
ਨਵਾਂ ਕਰਨਲ ਸਿਰਫ਼ ਰੀਬੂਟ ਤੋਂ ਬਾਅਦ ਹੀ ਪ੍ਰਭਾਵੀ ਹੁੰਦਾ ਹੈ। ਇਹ ਜਾਂਚ ਕਰਨ ਲਈ ਕਿ ਕੀ ਇਸਦੀ ਲੋੜ ਹੈ:
# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"
# AlmaLinux, Rocky, RHEL
needs-restarting -rਰੀਬੂਟ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਕਦਮ 1 ਤੋਂ ਜਾਂਚ ਦੁਹਰਾਓ।
ਕਦਮ 3. ਇੱਕ ਸਥਿਰ ਕਰਨਲ ਉਪਲਬਧ ਹੋਣ ਤੱਕ ਅਸਥਾਈ ਸੁਰੱਖਿਆ
ਇਹ ਉਪਾਅ ਜੋਖਮ ਨੂੰ ਘਟਾਉਂਦੇ ਹਨ ਪਰ ਕਰਨਲ ਅੱਪਡੇਟ ਨੂੰ ਨਹੀਂ ਬਦਲਦੇ।
ਟਰਿੱਗਰ ਪੈਕੇਟਾਂ ਨੂੰ ਬਲੌਕ ਕਰੋ
ਇਹ ਹਮਲਾ IPv4 ਹੈਡਰ ਵਿੱਚ IP ਵਿਕਲਪਾਂ ਵਾਲੇ TCP ਪੈਕੇਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਉਹ ਆਮ ਟ੍ਰੈਫਿਕ ਵਿੱਚ ਲਗਭਗ ਕਦੇ ਵੀ ਦਿਖਾਈ ਨਹੀਂ ਦਿੰਦੇ, ਅਤੇ RFC 7126 ਪਹਿਲਾਂ ਹੀ ਉਹਨਾਂ ਨੂੰ ਛੱਡਣ ਦੀ ਸਿਫਾਰਸ਼ ਕਰਦਾ ਹੈ। ਹੇਠਾਂ ਦਿੱਤਾ nftables ਨਿਯਮ ਸਾਰੇ ਆਉਣ ਵਾਲੇ IPv4 TCP ਪੈਕੇਟਾਂ ਨੂੰ ਵਿਕਲਪਾਂ ਵਾਲੇ ਛੱਡ ਦਿੰਦਾ ਹੈ ਅਤੇ IPv6, UDP ਜਾਂ ICMP ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਕਰਦਾ। ਇਹ ufw ਅਤੇ firewalld ਦੇ ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ।
ਜੇਕਰ nftables ਪਹਿਲਾਂ ਤੋਂ ਇੰਸਟਾਲ ਨਹੀਂ ਹੈ ਤਾਂ ਇਸਨੂੰ ਇੰਸਟਾਲ ਕਰੋ:
# Debian and Ubuntu
apt install -y nftables
# AlmaLinux, Rocky, RHEL
dnf install -y nftablesਨਿਯਮ ਫਾਈਲ ਬਣਾਓ:
cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
chain pre {
type filter hook prerouting priority -300; policy accept;
meta l4proto tcp ip hdrlength gt 5 counter drop
}
}
EOFਹਰ ਰੀਬੂਟ ਤੋਂ ਬਾਅਦ ਨਿਯਮ ਨੂੰ ਬਹਾਲ ਕਰਨ ਲਈ, ਇੱਕ systemd ਸੇਵਾ ਬਣਾਓ:
cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service
[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432
[Install]
WantedBy=multi-user.target
EOF
systemctl daemon-reload
systemctl enable --now cve-2026-98432.serviceਜਾਂਚ ਕਰੋ ਕਿ ਨਿਯਮ ਲੋਡ ਹੋਇਆ ਹੈ:
nft list table ip cve_2026_98432ਜੇਕਰ ਤੁਸੀਂ nftables ਸੇਵਾ ਨੂੰ ਗਲੋਬਲ ਨਾਲ ਮੁੜ ਚਾਲੂ ਕਰਦੇ ਹੋ flush ruleset ਨਿਯਮ, ਦੌੜ systemctl restart cve-2026-98432 ਬਾਅਦ ਵਿਚ.
ਮਹੱਤਵਪੂਰਨ: ਇਸ ਨਿਯਮ ਨੂੰ CIPSO ਲੇਬਲ (SELinux ਜਾਂ Smack NetLabel) ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੇ ਨੈੱਟਵਰਕਾਂ 'ਤੇ ਲਾਗੂ ਨਾ ਕਰੋ — IP ਵਿਕਲਪ ਆਮ ਤੌਰ 'ਤੇ ਉੱਥੇ ਵਰਤੇ ਜਾਂਦੇ ਹਨ। ਜੇਕਰ ਤੁਹਾਡਾ ਸਰਵਰ ਦੂਜੀਆਂ ਮਸ਼ੀਨਾਂ ਲਈ ਟ੍ਰੈਫਿਕ ਨੂੰ ਰੂਟ ਕਰਦਾ ਹੈ, ਤਾਂ ਨਿਯਮ IP ਵਿਕਲਪਾਂ ਵਾਲੇ ਉਹਨਾਂ ਦੇ TCP ਪੈਕੇਟਾਂ ਨੂੰ ਵੀ ਛੱਡ ਦੇਵੇਗਾ।
ਜੇਕਰ ਤੁਹਾਨੂੰ ਲੋੜ ਨਹੀਂ ਹੈ ਤਾਂ MPTCP ਨੂੰ ਅਯੋਗ ਕਰੋ।
sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.confਇਹ ਸੈਟਿੰਗ ਸਿਰਫ਼ ਰੋਕਦੀ ਹੈ ਨ੍ਯੂ MPTCP ਸਾਕਟ ਬਣਾਏ ਜਾਣ ਤੋਂ ਰੋਕਿਆ ਗਿਆ ਹੈ। ਪਹਿਲਾਂ ਤੋਂ ਚੱਲ ਰਹੀਆਂ ਸੇਵਾਵਾਂ MPTCP ਰਾਹੀਂ ਸੁਣਦੀਆਂ ਰਹਿਣਗੀਆਂ, ਇਸ ਲਈ ਸੂਚੀਬੱਧ ਹਰੇਕ ਸੇਵਾ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰੋ। ss -lnMp ਅਤੇ ਯਕੀਨੀ ਬਣਾਓ ਕਿ ਇਸਦਾ ਆਉਟਪੁੱਟ ਹੁਣ ਖਾਲੀ ਹੈ।
AlmaLinux 'ਤੇ, MPTCP ਡਿਫਾਲਟ ਤੌਰ 'ਤੇ ਅਯੋਗ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਤੱਕ ਤੁਸੀਂ ਇਸਨੂੰ ਖੁਦ ਸਮਰੱਥ ਨਹੀਂ ਕਰਦੇ।
ਗੋ ਪ੍ਰੋਗਰਾਮਾਂ ਵਿੱਚ MPTCP ਨੂੰ ਅਯੋਗ ਕਰੋ
Go 1.24 ਜਾਂ ਇਸ ਤੋਂ ਬਾਅਦ ਵਾਲੇ ਵਰਜਨ ਨਾਲ ਬਣੀਆਂ ਸੇਵਾਵਾਂ ਲਈ, ਤੁਸੀਂ ਇੱਕ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਨਾਲ MPTCP ਨੂੰ ਅਯੋਗ ਕਰ ਸਕਦੇ ਹੋ। ਉਦਾਹਰਣ ਵਜੋਂ, ਇੱਕ ਸੇਵਾ ਲਈ ਜਿਸਨੂੰ myservice:
systemctl edit myserviceਖੁੱਲ੍ਹਣ ਵਾਲੀ ਫਾਈਲ ਵਿੱਚ ਹੇਠ ਲਿਖਿਆਂ ਨੂੰ ਸ਼ਾਮਲ ਕਰੋ:
[Service]
Environment=GODEBUG=multipathtcp=0ਫਿਰ ਸੇਵਾ ਮੁੜ ਚਾਲੂ ਕਰੋ:
systemctl restart myserviceਐਕਸਰੇ ਅੱਪਡੇਟ ਕਰੋ
ਜੇਕਰ ਤੁਹਾਡਾ ਸਰਵਰ Xray ਚਲਾ ਰਿਹਾ ਹੈ, ਤਾਂ ਇਸਨੂੰ v26.10.31 ਜਾਂ ਇਸ ਤੋਂ ਬਾਅਦ ਵਾਲੇ ਵਰਜਨ 'ਤੇ ਅੱਪਡੇਟ ਕਰੋ। ਪਿਛਲਾ ਵਰਜਨ, v26.10.29, ਇਸਦੇ ਡਿਵੈਲਪਰਾਂ ਦੁਆਰਾ ਵਾਪਸ ਲੈ ਲਿਆ ਗਿਆ ਹੈ। ਇਹ ਅੱਪਡੇਟ MPTCP ਨੂੰ ਅਯੋਗ ਕਰਦਾ ਹੈ ਪਰ ਕਰਨਲ ਨੂੰ ਠੀਕ ਨਹੀਂ ਕਰਦਾ, ਇਸ ਲਈ ਇੱਕ ਕਰਨਲ ਅੱਪਡੇਟ ਅਜੇ ਵੀ ਲੋੜੀਂਦਾ ਹੈ।
ਇੱਕ ਹੋਰ ਸੈਟਿੰਗ ਦੀ ਜਾਂਚ ਕਰੋ
ਦੂਜਾ, ਤੰਗ ਸ਼ੋਸ਼ਣ ਮਾਰਗ ਲਈ ਬੇਨਤੀ ਮਾਈਗ੍ਰੇਸ਼ਨ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਇਹ ਡਿਫਾਲਟ ਤੌਰ 'ਤੇ ਬੰਦ ਹੈ - ਇਹ ਯਕੀਨੀ ਬਣਾਓ ਕਿ:
sysctl net.ipv4.tcp_migrate_reqਕਮਾਂਡ ਪ੍ਰਿੰਟ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ 0.
ਆਪਣੀਆਂ ਸੇਵਾਵਾਂ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰੋ
ਹਰ ਫਾਇਰਵਾਲ ਪੋਰਟ ਨੂੰ ਬੰਦ ਕਰੋ ਜਿਸ ਤੱਕ ਇੰਟਰਨੈੱਟ ਤੋਂ ਪਹੁੰਚਯੋਗ ਹੋਣ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। ਜਿੱਥੇ ਵੀ ਸੰਭਵ ਹੋਵੇ, ਪ੍ਰਬੰਧਕੀ ਸੇਵਾਵਾਂ - SSH, ਕੰਟਰੋਲ ਪੈਨਲ, ਡੇਟਾਬੇਸ - ਸਿਰਫ਼ ਭਰੋਸੇਯੋਗ IP ਪਤਿਆਂ ਲਈ ਖੋਲ੍ਹੋ।
ਕਦਮ 4. ਫਿਕਸਡ ਕਰਨਲ ਇੰਸਟਾਲ ਕਰਨ ਤੋਂ ਬਾਅਦ
- ਸਰਵਰ ਨੂੰ ਰੀਬੂਟ ਕਰੋ ਅਤੇ ਸਟੈਪ 1 ਤੋਂ ਕਮਾਂਡਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਫਿਕਸਡ ਕਰਨਲ ਚੱਲ ਰਿਹਾ ਹੈ।
- ਤੁਸੀਂ ਅਸਥਾਈ ਨਿਯਮ ਨੂੰ ਹਟਾ ਸਕਦੇ ਹੋ:
systemctl disable --now cve-2026-98432.service
rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
systemctl daemon-reload - ਜੇਕਰ ਤੁਹਾਨੂੰ MPTCP ਦੀ ਲੋੜ ਹੈ, ਤਾਂ ਸੈਟਿੰਗ ਨੂੰ ਰੀਸਟੋਰ ਕਰੋ: ਮਿਟਾਓ
/etc/sysctl.d/99-disable-mptcp.confਅਤੇ ਰਨ ਕਰੋsysctl -w net.mptcp.enabled=1.
ਜੇ ਕੁਝ ਗਲਤ ਹੋ ਜਾਂਦਾ ਹੈ
ਜੇਕਰ ਤੁਹਾਡਾ ਸਰਵਰ ਕਰਨਲ ਅੱਪਡੇਟ ਤੋਂ ਬਾਅਦ ਬੂਟ ਨਹੀਂ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਕੰਟਰੋਲ ਪੈਨਲ ਵਿੱਚ VNC ਕੰਸੋਲ ਰਾਹੀਂ ਜੁੜੋ ਅਤੇ ਬੂਟ ਮੀਨੂ ਵਿੱਚ ਪਿਛਲਾ ਕਰਨਲ ਚੁਣੋ। ਜੇਕਰ ਤੁਹਾਨੂੰ ਯਕੀਨ ਨਹੀਂ ਹੈ ਕਿ ਤੁਸੀਂ ਇਹ ਖੁਦ ਕਰ ਸਕਦੇ ਹੋ, ਜਾਂ ਅੱਪਡੇਟ ਲਈ ਮਦਦ ਦੀ ਲੋੜ ਹੈ, ਤਾਂ ਸਾਡੀ ਸਹਾਇਤਾ ਟੀਮ ਨਾਲ ਸੰਪਰਕ ਕਰੋ।
