د لینکس کرنل جدي زیان منونکي CVE-2026-98432: څنګه خپل VPS وګورئ او تازه کړئ

په اکتوبر ۲۰۲۶ کې، په لینکس کرنل کې یو مهم زیان منونکی، CVE-2026-98432 ، وموندل شو، چې د CVSS پیمانه کې له ۱۰ څخه ۹.۸ درجه ورکړل شوې وه. دا اغیزه کوي چې څنګه راتلونکي IPv4 TCP اړیکې اداره کیږي او، د ځینو شرایطو لاندې، بریدګر ته اجازه ورکوي چې له لیرې سرور ته روټ لاسرسی ترلاسه کړي - پرته له پاسورډ او د مدیر څخه هیڅ عمل ته اړتیا نشته.

لاندې هغه کسان دي چې اغیزمن شوي دي، څنګه خپل سرور وګورئ او څنګه یې خوندي کړئ. ټول امرونه د روټ په توګه یا د sudo.

په لنډه توګه زیانمننې

• څه دا ده: په کوډ کې د کارولو وروسته وړیا بګ چې د IPv4 TCP اتصالونه تنظیموي، د ریس حالت له امله رامینځته کیږي. بریدګر په ځانګړي ډول جوړ شوي پاکټونه هر خلاص TCP پورټ ته لیږي.
• اغیزمن شوي دانه: د لینکس ۴.۴ راهیسې هره نسخه، چې په عملي توګه د هرې اوسني ویش معنی لري.
• IPv6 د اصلي بګ لخوا اغیزمن شوی نه دی.
• ګواښ څومره ریښتینی دی: د انتروپیک څیړونکو د کار کولو استحصال سلسله وښودله چې د ملټي پاتھ TCP (MPTCP) سره په سرور کې د روټ لاسرسی یې په شاوخوا 53 دقیقو کې فعال کړ. د استحصال کوډ خپور شوی نه دی.
• په ځنګل کې بریدونه: د ۲۰۲۶ کال د نومبر تر لومړۍ نیټې پورې، د هیڅ ډول استحصال راپور نه دی ورکړل شوی. دا د آرامۍ تازه کولو دلیل دی، نه د ځنډولو دلیل.

د ګو خدمات یو جلا خطر لري. د ګو ۱.۲۴ راهیسې، په لینکس کې د سرور پروګرامونه د MPTCP له لارې په ډیفالټ ډول په پورټونو کې اوري کله چې کرنل ورته اجازه ورکوي. یو مدیر ممکن حتی پوه نشي چې د دوی سرور دا ډول اړیکې مني. د مشهورو پروګرامونو په منځ کې، Xray پدې ډول کار کوي - د هغې پراختیا کونکو دمخه یو بیړنی نسخه، v26.10.31 خپره کړې، کوم چې په ډیفالټ ډول MPTCP غیر فعالوي.

هر VPS خپل کرنل چلوي، نو تاسو اړتیا لرئ چې په خپل سرور کې کرنل پخپله تازه کړئ. موږ د مجازی کولو نوډونه پخپله تازه کوو.

آیا ستاسو د سیسټم لپاره کومه اصلاح شته؟

د ۲۰۲۶ کال د نومبر د لومړۍ نیټې پورې حالت. اصلاحات تقریبا هره ورځ راځي — د اوسني حالت لپاره د دې مقالې په پای کې لینکونه وګورئ.

ګام ۱. وګورئ چې کوم کرنل تاسو چلوئ

د چلونکي کرنل نسخه ومومئ:

uname -r

یوازې د نسخې شمیره تاسو ته هیڅ نه وايي: توزیعونه د اساس نسخې بدلولو پرته په خپلو کرنلونو کې بیک پورټ اصلاحات کوي. دا د کرنل پیکج چینج لاګ چیک کول ډیر باوري دي - که چیرې دا د CVE شمیره ذکر کړي، نو حل لا دمخه نصب شوی.

دبیان او اوبنټو:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

په ډیبیان کې، د uname -v کمانډ د چلونکي کرنل بشپړ پیکج نسخه هم ښیي: دا د پورته جدول سره پرتله کړئ.

الما لینکس، راکي لینکس، آر ایچ ای ایل، اوراکل لینکس:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

که چیرې قومانده هیڅ شی نه چاپوي، نو روان کرنل زیانمنونکی دی.

بیا، وګورئ چې کوم خدمتونه د MPTCP له لارې اړیکې مني. د دې په څیر سرورونه په ښودل شوي برید کې هدف وو:

ss -lnMp

تشه پایله پدې مانا ده چې د MPTCP اوریدونکي نشته.

دوهم ګام. ثابت کرنل نصب کړئ

د کرنل تازه کولو دمخه د خپل سرور بیک اپ یا سنیپ شاټ واخلئ.

دبیان ۱۲ او ۱۳

ثابت شوي کرنلونه په امنیتي زیرمه کې دي. ډاډ ترلاسه کړئ چې دا فعال شوی دی:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

که هیڅ ونه موندل شي، نو اضافه کړئ security.debian.org ستاسو د خوشې کولو لپاره ذخیره. بیا سیسټم تازه کړئ:

apt update
apt full-upgrade
reboot

د وبنټو

ثابت شوي کرنلونه لا نه دي خپاره شوي. د تازه معلوماتو لپاره وګورئ:

apt update
apt list --upgradable | grep linux-image

که ستاسو سرور د اوبنټو پرو سره وصل وي، تاسو کولی شئ د حل پلان وګورئ:

pro fix CVE-2026-98432 --dry-run

کله چې حل خلاص شي، نصب یې کړئ او بیا یې پیل کړئ:

apt update
apt full-upgrade
reboot

تر هغه وخته پورې، ډاډ ترلاسه کړئ چې د دریم ګام څخه لنډمهاله محافظت پلي کړئ.

الما لینکس ۸، ۹، ۱۰

ثابت شوي کرنلونه اوس مهال یوازې د ازموینې په ذخیره کې شتون لري. که تاسو د تولید سرور کې د دې کولو لپاره آرام یاست نو نصب یې کړئ، او ډاډ ترلاسه کړئ چې د تازه کولو دمخه یو سنیپ شاټ واخلئ:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

د ریبوټ کولو وروسته، پرتله کړئ uname -r د پورته جدول نسخو سره. که تاسو نه غواړئ د ازموینې کڅوړې نصب کړئ، لنډمهاله محافظت پلي کړئ او د حل لپاره انتظار وکړئ ترڅو اصلي زیرمې ته ورسیږي.

راکي لینکس او نور RHEL پر بنسټ سیسټمونه

تر اوسه کومه حل لاره نشته. تاسو کولی شئ د دې سره وګورئ:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

کله چې اصلاح خپور شي:

dnf update kernel
reboot

د تازه کولو وروسته: بیا پیل کول اړین دي

نوی کرنل یوازې د ریبوټ وروسته اغیزمن کیږي. د دې لپاره چې وګورئ چې ایا ورته اړتیا ده:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

د ریبوټ کولو وروسته، د لومړي ګام څخه چک تکرار کړئ.

ګام ۳. لنډمهاله محافظت تر هغه چې یو ثابت کرنل شتون ولري

دا اقدامات خطر کموي مګر د کرنل تازه معلومات نه بدلوي.

د ټریګر پیکټونه بند کړئ

دا برید د IPv4 سرلیک کې د IP انتخابونو سره د TCP پاکټونو څخه کار اخلي. دوی په عملي توګه هیڅکله په نورمال ترافیک کې نه ښکاري، او RFC 7126 دمخه د دوی پریښودو سپارښتنه کوي. د nftables لاندې قاعده ټول راتلونکي IPv4 TCP پاکټونه د اختیارونو سره پریږدي او IPv6، UDP یا ICMP اغیزه نه کوي. دا د ufw او firewalld سره یوځای کار کوي.

که چیرې nftables لا دمخه نصب شوی نه وي، نو نصب یې کړئ:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

د قاعدې فایل جوړ کړئ:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

د هر ریبوټ وروسته د قاعدې د بیا رغونې لپاره، یو سیسټم شوی خدمت جوړ کړئ:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

وګورئ چې قاعده ډکه شوې ده:

nft list table ip cve_2026_98432

که تاسو د nftables خدمت د ګلوبل سره بیا پیل کړئ flush ruleset قانون جوړول، منډه وهل systemctl restart cve-2026-98432 وروسته.

مهم: دا قاعده په هغو شبکو کې مه پلي کوئ چې د CIPSO لیبلونو (SELinux یا Smack NetLabel) کاروي — د IP اختیارونه په نورمال ډول هلته کارول کیږي. که ستاسو سرور د نورو ماشینونو لپاره ټرافیک روټ کړي، نو قاعده به د دوی TCP پاکټونه د IP اختیارونو سره هم پریږدي.

که اړتیا نه لرئ، MPTCP غیر فعال کړئ.

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

دا ترتیب یوازې مخنیوی کوي نوي د MPTCP ساکټونه د جوړولو څخه منع دي. هغه خدمات چې دمخه روان دي د MPTCP له لارې به اوریدل دوام ومومي، نو د هر لیست شوي خدمت بیا پیل کړئ ss -lnMp او ډاډ ترلاسه کړئ چې اوس یې محصول خالي دی.

په الما لینکس کې، MPTCP په ډیفالټ ډول غیر فعال دی پرته لدې چې تاسو یې پخپله فعال کړی وي.

په ګو پروګرامونو کې MPTCP غیر فعال کړئ

د Go 1.24 یا وروسته جوړ شوي خدماتو لپاره، تاسو کولی شئ د چاپیریال متغیر سره MPTCP غیر فعال کړئ. د مثال په توګه، د هغه خدمت لپاره چې نوم یې دی myservice:

systemctl edit myservice

لاندې فایل ته اضافه کړئ چې خلاصیږي:

[Service]
Environment=GODEBUG=multipathtcp=0

بیا خدمت بیا پیل کړئ:

systemctl restart myservice

د ایکس رې تازه کول

که ستاسو سرور Xray چلوي، نو دا v26.10.31 یا وروسته ته تازه کړئ. پخوانۍ نسخه، v26.10.29، د هغې پراختیا کونکو لخوا بیرته اخیستل شوې ده. دا تازه معلومات MPTCP غیر فعالوي مګر کرنل نه سموي، نو د کرنل تازه معلومات لاهم اړین دي.

یو بل ترتیب وګورئ

دوهم، د استخراج یوه تنګه لاره د غوښتنې مهاجرت فعالولو ته اړتیا لري. دا په ډیفالټ ډول بند دی - ډاډ ترلاسه کړئ چې:

sysctl net.ipv4.tcp_migrate_req

امر باید چاپ شي 0.

خپلو خدماتو ته لاسرسی محدود کړئ

د فایر وال هر هغه پورټ وتړئ چې د انټرنیټ څخه د لاسرسي وړ نه وي. که امکان ولري، اداري خدمات - SSH، کنټرول پینلونه، ډیټابیسونه - یوازې د باور وړ IP پتو لپاره خلاص کړئ.

څلورم ګام. د ثابت کرنل نصبولو وروسته

1. سرور ریبوټ کړئ او د لومړي ګام څخه امرونه وکاروئ ترڅو تایید کړئ چې ثابت کرنل روان دی.
2. تاسو کولی شئ لنډمهاله قاعده لرې کړئ:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. که تاسو MPTCP ته اړتیا لرئ، نو ترتیب بیرته راګرځوئ: حذف کړئ /etc/sysctl.d/99-disable-mptcp.conf او منډه کړئ sysctl -w net.mptcp.enabled=1.

که یو څه غلط شي

که ستاسو سرور د کرنل تازه کولو وروسته بوټ نه کوي، د کنټرول پینل کې د VNC کنسول له لارې وصل شئ او د بوټ مینو کې پخوانی کرنل غوره کړئ. که تاسو ډاډه نه یاست چې تاسو دا پخپله کولی شئ، یا د تازه کولو لپاره مرستې ته اړتیا لرئ، زموږ د ملاتړ ټیم سره اړیکه ونیسئ.