نازڪ لينڪس ڪرنل ڪمزوري CVE-2026-98432: پنهنجي VPS کي ڪيئن چيڪ ۽ اپڊيٽ ڪجي

آڪٽوبر 2026 ۾، هڪ نازڪ ڪمزوري، CVE-2026-98432 ، لينڪس ڪرنل ۾ ملي، جنهن کي CVSS اسڪيل تي 10 مان 9.8 ريٽ ڪيو ويو. اهو متاثر ڪري ٿو ته ايندڙ IPv4 TCP ڪنيڪشن ڪيئن سنڀاليا وڃن ٿا ۽، ڪجهه حالتن هيٺ، حملي آور کي سرور تائين روٽ رسائي حاصل ڪرڻ جي اجازت ڏئي ٿو - بغير ڪنهن پاسورڊ جي ۽ نه ئي ايڊمنسٽريٽر کان ڪنهن ڪارروائي جي ضرورت آهي.

هيٺ ڏنل آهي ته ڪير متاثر ٿيو آهي، پنهنجي سرور کي ڪيئن چيڪ ڪجي ۽ ان کي ڪيئن محفوظ ڪجي. سڀئي حڪم روٽ طور يا سان هلايا ويندا آهن sudo.

مختصر ۾ ڪمزوري

• هي ڇا آهي: ڪوڊ ۾ هڪ استعمال کان پوءِ آزاد بگ جيڪو IPv4 TCP ڪنيڪشن سيٽ اپ ڪري ٿو، جيڪو ريس جي حالت جي ڪري ٿئي ٿو. حملو ڪندڙ ڪنهن به کليل TCP پورٽ ڏانهن خاص طور تي تيار ڪيل پيڪٽ موڪلي ٿو.
• متاثر ٿيل داڻا: لينڪس 4.4 کان وٺي هر ورجن، جنهن جو مطلب آهي عملي طور تي هر موجوده ورڇ.
• IPv6 مکيه بگ کان متاثر نه ٿيو آهي.
• خطرو ڪيترو حقيقي آهي: اينٿروپڪ محققن هڪ ڪم ڪندڙ ايڪسپلائيٽ چين جو مظاهرو ڪيو جنهن ملٽي پاٿ ٽي سي پي (MPTCP) سان سرور تي روٽ رسائي حاصل ڪئي جنهن ۾ تقريباً 53 منٽن ۾ فعال ڪيو ويو. ايڪسپلائيٽ ڪوڊ شايع نه ڪيو ويو آهي.
• جهنگلي ۾ حملا: 1 نومبر 2026 تائين، ڪو به استحصال رپورٽ نه ڪيو ويو آهي. اهو آرام سان اپڊيٽ ڪرڻ جو هڪ سبب آهي، ان کي ملتوي ڪرڻ جو سبب ناهي.

گو سروسز هڪ الڳ خطرو کڻنديون آهن. گو 1.24 کان وٺي، لينڪس تي سرور پروگرام MPTCP ذريعي پورٽن تي ڊفالٽ طور تي ٻڌندا آهن جڏهن به ڪرنل ان جي اجازت ڏئي ٿو. هڪ ايڊمنسٽريٽر کي شايد خبر به نه هجي ته انهن جو سرور اهڙن ڪنيڪشن کي قبول ڪري ٿو. مشهور پروگرامن ۾، Xray هن طريقي سان ڪم ڪري ٿو - ان جي ڊولپرز اڳ ۾ ئي هڪ ايمرجنسي ورزن، v26.10.31، جاري ڪيو آهي، جيڪو ڊفالٽ طور تي MPTCP کي غير فعال ڪري ٿو.

هر VPS پنهنجو ڪرنل هلائيندو آهي، تنهنڪري توهان کي پنهنجي سرور اندر ڪرنل کي پاڻ اپڊيٽ ڪرڻ جي ضرورت آهي. اسان ورچوئلائيزيشن نوڊس کي پاڻ اپڊيٽ ڪندا آهيون.

ڇا توهان جي سسٽم لاءِ ڪو حل آهي؟

1 نومبر 2026 تائين جي حيثيت. اصلاحون تقريبن روزانو اچي رهيون آهن - موجوده حيثيت لاءِ هن مضمون جي آخر ۾ لنڪس چيڪ ڪريو.

قدم 1. چيڪ ڪريو ته توهان ڪهڙو ڪرنل هلائي رهيا آهيو

هلندڙ ڪرنل جو نسخو ڳوليو:

uname -r

صرف ورجن نمبر توهان کي ڪجهه به نٿو ٻڌائي: ڊسٽريبيوشن بيڪ پورٽ بنيادي ورزن کي تبديل ڪرڻ کان سواءِ پنهنجي ڪنيل ۾ درست ڪري ٿو. ڪرنل پيڪيج چينج لاگ کي چيڪ ڪرڻ وڌيڪ قابل اعتماد آهي - جيڪڏهن اهو CVE نمبر جو ذڪر ڪري ٿو، ته فڪس اڳ ۾ ئي انسٽال ٿيل آهي.

ڊيبين ۽ اوبنٽو:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

ڊيبين تي، uname -v ڪمانڊ هلندڙ ڪرنل جو مڪمل پيڪيج ورزن پڻ ڏيکاري ٿو: ان جو مقابلو مٿي ڏنل جدول سان ڪريو.

الما لينڪس، راڪي لينڪس، آر ايڇ اي ايل، اوريڪل لينڪس:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

جيڪڏهن ڪمانڊ ڪجهه به نه پرنٽ ڪري ٿو، ته هلندڙ ڪرنل ڪمزور آهي.

اڳيون، چيڪ ڪريو ته ڪهڙيون خدمتون MPTCP ذريعي ڪنيڪشن قبول ڪن ٿيون. ڏيکاريل حملي ۾ اهڙن سرورن کي نشانو بڻايو ويو:

ss -lnMp

خالي آئوٽ پُٽ جو مطلب آهي ته ڪو به MPTCP ٻڌندڙ نه آهي.

قدم 2. مقرر ٿيل ڪرنل انسٽال ڪريو

ڪرنل کي اپڊيٽ ڪرڻ کان اڳ پنهنجي سرور جو بيڪ اپ يا سنيپ شاٽ وٺو.

ڊيبين 12 ۽ 13

مقرر ڪيل ڪرنل سيڪيورٽي ريپوزٽري ۾ آهن. پڪ ڪريو ته اهو فعال آهي:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

جيڪڏهن ڪجھ به نه مليو، ته شامل ڪريو security.debian.org توهان جي رليز لاءِ مخزن. پوءِ سسٽم کي اپڊيٽ ڪريو:

apt update
apt full-upgrade
reboot

Ubuntu

فڪسڊ ڪرنل اڃا تائين جاري نه ڪيا ويا آهن. اپڊيٽس لاءِ چيڪ ڪريو:

apt update
apt list --upgradable | grep linux-image

جيڪڏهن توهان جو سرور Ubuntu Pro سان ڳنڍيل آهي، ته توهان فڪس پلان چيڪ ڪري سگهو ٿا:

pro fix CVE-2026-98432 --dry-run

هڪ ڀيرو حل جاري ٿي وڃي، ان کي انسٽال ڪريو ۽ ريبوٽ ڪريو:

apt update
apt full-upgrade
reboot

ان وقت تائين، قدم 3 کان عارضي تحفظ لاڳو ڪرڻ جي پڪ ڪريو.

الما لينڪس 8، 9، 10

فڪسڊ ڪرنل هن وقت صرف ٽيسٽنگ ريپوزٽري ۾ موجود آهن. جيڪڏهن توهان پروڊڪشن سرور تي ائين ڪرڻ ۾ آرامده آهيو ته انهن کي انسٽال ڪريو، ۽ اپڊيٽ ڪرڻ کان اڳ هڪ سنيپ شاٽ ضرور وٺو:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

ريبوٽ ڪرڻ کان پوءِ، مقابلو ڪريو uname -r مٿي ڏنل جدول ۾ ورجن سان. جيڪڏهن توهان ٽيسٽنگ پيڪيجز انسٽال ڪرڻ پسند نه ڪندا، ته عارضي تحفظ لاڳو ڪريو ۽ مکيه مخزن تائين فڪس پهچڻ جو انتظار ڪريو.

راڪي لينڪس ۽ ٻيا RHEL تي ٻڌل سسٽم

اڃا تائين ڪو به حل ناهي. توهان ان لاءِ ڏسي سگهو ٿا:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

هڪ ڀيرو فڪس جاري ڪيو وڃي:

dnf update kernel
reboot

اپڊيٽ ڪرڻ کان پوءِ: ريبوٽ گهربل آهي

نئون ڪرنل صرف ريبوٽ ڪرڻ کان پوءِ اثر انداز ٿيندو آهي. چيڪ ڪرڻ لاءِ ته ڇا ان جي ضرورت آهي:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

ريبوٽ ڪرڻ کان پوءِ، قدم 1 کان چيڪ ورجايو.

قدم 3. عارضي تحفظ جيستائين هڪ مقرر ڪرنل موجود نه هجي

اهي تدبيرون خطري کي گهٽائين ٿيون پر ڪرنل اپڊيٽ کي تبديل نه ٿيون ڪن.

ٽرگر پيڪٽس کي بلاڪ ڪريو

حملي ۾ IPv4 هيڊر ۾ IP آپشنز سان TCP پيڪٽس استعمال ڪيا ويندا آهن. اهي عملي طور تي ڪڏهن به عام ٽرئفڪ ۾ ظاهر نه ٿيندا آهن، ۽ RFC 7126 اڳ ۾ ئي انهن کي ڇڏڻ جي سفارش ڪري ٿو. هيٺ ڏنل nftables قاعدو سڀني ايندڙ IPv4 TCP پيڪٽس کي اختيارن سان ڇڏي ٿو ۽ IPv6، UDP يا ICMP کي متاثر نٿو ڪري. اهو ufw ۽ firewalld سان گڏ ڪم ڪري ٿو.

جيڪڏهن nftables اڳ ۾ ئي انسٽال ٿيل نه آهي ته انسٽال ڪريو:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

قاعدي فائل ٺاھيو:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

هر ريبوٽ کان پوءِ قاعدو بحال ڪرڻ لاءِ، هڪ سسٽم ڊي سروس ٺاهيو:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

چيڪ ڪريو ته قاعدو لوڊ ٿيل آهي:

nft list table ip cve_2026_98432

جيڪڏهن توهان nftables سروس کي گلوبل سان ٻيهر شروع ڪيو ٿا flush ruleset ضابطو، هلائڻ systemctl restart cve-2026-98432 هن کان پوءِ.

اهم: CIPSO ليبلز (SELinux يا Smack NetLabel) استعمال ڪندڙ نيٽ ورڪن تي هي قاعدو لاڳو نه ڪريو — IP آپشن عام طور تي اتي استعمال ٿيندا آهن. جيڪڏهن توهان جو سرور ٻين مشينن لاءِ ٽرئفڪ روٽ ڪري ٿو، ته قاعدو انهن جي TCP پيڪٽس کي IP آپشنز سان پڻ ڇڏي ڏيندو.

جيڪڏهن توهان کي ضرورت نه هجي ته MPTCP کي غير فعال ڪريو.

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

هي سيٽنگ صرف روڪي ٿي نئون MPTCP ساکٽ ٺاهڻ کان روڪيو ويو آهي. جيڪي خدمتون اڳ ۾ ئي هلي رهيون آهن اهي MPTCP ذريعي ٻڌنديون رهنديون، تنهن ڪري هر سروس کي ٻيهر شروع ڪريو جيڪو درج ڪيو ويو آهي ss -lnMp ۽ پڪ ڪريو ته ان جو آئوٽ پُٽ هاڻي خالي آهي.

AlmaLinux تي، MPTCP ڊفالٽ طور تي غير فعال آهي جيستائين توهان ان کي پاڻ فعال نه ڪيو هجي.

گو پروگرامن ۾ MPTCP کي غير فعال ڪريو

Go 1.24 يا بعد ۾ ٺهيل خدمتن لاءِ، توهان هڪ ماحولياتي متغير سان MPTCP کي غير فعال ڪري سگهو ٿا. مثال طور، هڪ خدمت لاءِ جنهن کي سڏيو ويندو آهي myservice:

systemctl edit myservice

کُلندڙ فائل ۾ ھيٺيون شيون شامل ڪريو:

[Service]
Environment=GODEBUG=multipathtcp=0

پوءِ سروس ٻيهر شروع ڪريو:

systemctl restart myservice

ايڪس ري اپڊيٽ ڪريو

جيڪڏهن توهان جو سرور Xray هلائي ٿو، ته ان کي v26.10.31 يا بعد ۾ اپڊيٽ ڪريو. پوئين ورجن، v26.10.29، ان جي ڊولپرز طرفان واپس ورتو ويو آهي. هي اپڊيٽ MPTCP کي غير فعال ڪري ٿي پر ڪرنل کي درست نٿو ڪري، تنهن ڪري ڪرنل اپڊيٽ اڃا تائين گهربل آهي.

هڪ ٻي سيٽنگ چيڪ ڪريو

ٻيو، تنگ استحصالي رستو درخواست جي منتقلي کي فعال ڪرڻ جي ضرورت آهي. اهو ڊفالٽ طور بند آهي - پڪ ڪريو ته:

sysctl net.ipv4.tcp_migrate_req

حڪم پرنٽ ٿيڻ گهرجي 0.

پنهنجي خدمتن تائين رسائي کي محدود ڪريو

هر فائر وال پورٽ کي بند ڪريو جيڪو انٽرنيٽ تان پهچڻ جي ضرورت ناهي. جتي ممڪن هجي، انتظامي خدمتون - SSH، ڪنٽرول پينل، ڊيٽابيس - صرف قابل اعتماد IP پتي تي کوليو.

قدم 4. مقرر ٿيل ڪرنل انسٽال ڪرڻ کان پوءِ

1. سرور کي ريبوٽ ڪريو ۽ قدم 1 مان ڏنل حڪمن کي استعمال ڪندي تصديق ڪريو ته مقرر ٿيل ڪرنل هلي رهيو آهي.
2. توهان عارضي قاعدو ختم ڪري سگهو ٿا:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. جيڪڏهن توهان کي MPTCP جي ضرورت آهي، سيٽنگ بحال ڪريو: حذف ڪريو /etc/sysctl.d/99-disable-mptcp.conf ۽ هلندو sysctl -w net.mptcp.enabled=1.

جيڪڏهن ڪجهه غلط ٿئي ٿو

جيڪڏهن توهان جو سرور ڪرنل اپڊيٽ کان پوءِ بوٽ نه ٿئي، ته ڪنٽرول پينل ۾ VNC ڪنسول ذريعي ڳنڍيو ۽ بوٽ مينيو ۾ پوئين ڪرنل چونڊيو. جيڪڏهن توهان کي پڪ ناهي ته توهان اهو پاڻ ڪري سگهو ٿا، يا اپڊيٽ ۾ مدد جي ضرورت آهي، ته اسان جي سپورٽ ٽيم سان رابطو ڪريو.