Critical Linux Kernel Vulnerability CVE-2026-98432: ඔබේ VPS පරීක්ෂා කර යාවත්කාලීන කරන්නේ කෙසේද?

2026 ඔක්තෝම්බර් මාසයේදී, CVSS පරිමාණයෙන් 10 න් 9.8 ක් ලෙස ශ්‍රේණිගත කර ඇති Linux කර්නලයේ CVE-2026-98432 නම් තීරණාත්මක අවදානමක් සොයා ගන්නා ලදී. එය පැමිණෙන IPv4 TCP සම්බන්ධතා හසුරුවන ආකාරය කෙරෙහි බලපාන අතර, ඇතැම් කොන්දේසි යටතේ, ප්‍රහාරකයෙකුට මුරපදයක් නොමැතිව සහ පරිපාලකගෙන් කිසිදු ක්‍රියාමාර්ගයක් අවශ්‍ය නොවන දුරස්ථව සේවාදායකයකට root ප්‍රවේශය ලබා ගැනීමට ඉඩ සලසයි.

පහත දැක්වෙන්නේ බලපෑමට ලක්වූවන් කවුද, ඔබේ සේවාදායකය පරීක්ෂා කරන්නේ කෙසේද සහ එය ආරක්ෂා කරන්නේ කෙසේද යන්නයි. සියලුම විධාන root ලෙස හෝ සමඟ ක්‍රියාත්මක වේ sudo.

කෙටියෙන් අවදානම් තත්ත්වය

• එය කුමක්ද: ධාවන තත්වයක් නිසා ඇතිවන IPv4 TCP සම්බන්ධතා සකසන කේතයේ භාවිතයෙන් පසු-නිදහස් දෝෂයකි. ප්‍රහාරකයා විශේෂයෙන් සකස් කරන ලද පැකට් ඕනෑම විවෘත TCP port එකකට යවයි.
• බලපෑමට ලක් වූ කර්නල්: Linux 4.4 සිට සෑම අනුවාදයක්ම, එනම් ප්‍රායෝගිකව සෑම වත්මන් බෙදාහැරීමක්ම අදහස් වේ.
• IPv6 ප්‍රධාන දෝෂයෙන් බලපෑමට ලක් නොවේ.
• තර්ජනය කෙතරම් සැබෑද: මානව විද්‍යා පර්යේෂකයින් විසින් මිනිත්තු 53 කින් පමණ බහු මාර්ග TCP (MPTCP) සක්‍රීය කර ඇති සේවාදායකයක මූල ප්‍රවේශය ලබා ගත් ක්‍රියාකාරී සූරාකෑමේ දාමයක් නිරූපණය කරන ලදී. සූරාකෑමේ කේතය ප්‍රකාශයට පත් කර නොමැත.
• වනයේ ප්‍රහාර: 2026 නොවැම්බර් 1 වන දින වන විට, කිසිදු සූරාකෑමක් වාර්තා වී නොමැත. එය සන්සුන්ව යාවත්කාලීන කිරීමට හේතුවක් මිස එය කල් දැමීමට හේතුවක් නොවේ.

Go සේවාවන් වෙනම අවදානමක් දරයි. Go 1.24 සිට, Linux හි සේවාදායක වැඩසටහන්, කර්නලය ඉඩ දෙන සෑම අවස්ථාවකම පෙරනිමියෙන් MPTCP හරහා ports වලට සවන් දෙයි. පරිපාලකයෙකු තම සේවාදායකය එවැනි සම්බන්ධතා පිළිගන්නා බව නොදැන සිටිය හැකිය. ජනප්‍රිය වැඩසටහන් අතර, Xray මේ ආකාරයෙන් ක්‍රියා කරයි - එහි සංවර්ධකයින් දැනටමත් හදිසි අනුවාදයක් වන v26.10.31 නිකුත් කර ඇති අතර එය පෙරනිමියෙන් MPTCP අක්‍රීය කරයි.

සෑම VPS එකක්ම තමන්ගේම කර්නලය ක්‍රියාත්මක කරයි, එබැවින් ඔබ ඔබේ සේවාදායකය තුළ ඇති කර්නලය ඔබ විසින්ම යාවත්කාලීන කළ යුතුය. අපි අථත්‍යකරණ නෝඩ් අප විසින්ම යාවත්කාලීන කරමු.

ඔබේ පද්ධතියට විසඳුමක් තිබේද?

2026 නොවැම්බර් 1 වන දින තත්ත්වය. නිවැරදි කිරීම් දිනපතාම පාහේ සිදුවෙමින් පවතී — වත්මන් තත්ත්වය සඳහා මෙම ලිපියේ අවසානයේ ඇති සබැඳි පරීක්ෂා කරන්න.

පියවර 1. ඔබ ක්‍රියාත්මක කරන්නේ කුමන කර්නලයද යන්න පරීක්ෂා කරන්න

ක්‍රියාත්මක වන කර්නලයේ අනුවාදය සොයා ගන්න:

uname -r

අනුවාද අංකය පමණක් ඔබට කිසිවක් නොකියයි: බෙදාහැරීම් backport මූලික අනුවාදය වෙනස් නොකර තමන්ගේම කර්නල් වලට සවි කරයි. කර්නල් පැකේජ වෙනස් කිරීමේ ලොගය පරීක්ෂා කිරීම වඩාත් විශ්වාසදායකයි - එහි CVE අංකය සඳහන් කරන්නේ නම්, නිවැරදි කිරීම දැනටමත් ස්ථාපනය කර ඇත.

ඩේබියන් සහ උබුන්ටු:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

ඩේබියන් මත, uname -v විධානය මඟින් ක්‍රියාත්මක වන කර්නලයේ සම්පූර්ණ පැකේජ අනුවාදය ද පෙන්වයි: එය ඉහත වගුව සමඟ සසඳන්න.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

විධානය කිසිවක් මුද්‍රණය නොකරන්නේ නම්, ක්‍රියාත්මක වන කර්නලය අවදානමට ලක්විය හැකිය.

ඊළඟට, MPTCP හරහා සම්බන්ධතා පිළිගන්නේ කුමන සේවාවන්ද යන්න පරීක්ෂා කරන්න. පෙන්නුම් කළ ප්‍රහාරයේ ඉලක්කය වූයේ මෙවැනි සේවාදායකයන් ය:

ss -lnMp

හිස් ප්‍රතිදානයක් යනු MPTCP ශ්‍රාවකයින් නොමැති බවයි.

පියවර 2. ස්ථාවර කර්නලය ස්ථාපනය කරන්න

කර්නලය යාවත්කාලීන කිරීමට පෙර ඔබේ සේවාදායකයේ උපස්ථයක් හෝ ස්නැප්ෂොට් එකක් ගන්න.

ඩේබියන් 12 සහ 13

ස්ථාවර කර්නල් ආරක්ෂක ගබඩාවේ ඇත. එය සක්‍රීය කර ඇති බවට වග බලා ගන්න:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

කිසිවක් සොයාගත නොහැකි නම්, එකතු කරන්න security.debian.org ඔබගේ නිකුතුව සඳහා ගබඩාව. ඉන්පසු පද්ධතිය යාවත්කාලීන කරන්න:

apt update
apt full-upgrade
reboot

උබුන්ටු

ස්ථාවර කර්නල් තවමත් නිකුත් කර නොමැත. යාවත්කාලීන සඳහා පරීක්ෂා කරන්න:

apt update
apt list --upgradable | grep linux-image

ඔබගේ සේවාදායකය උබුන්ටු ප්‍රෝ සමඟ සම්බන්ධ කර ඇත්නම්, ඔබට නිවැරදි කිරීමේ සැලැස්ම පරීක්ෂා කළ හැකිය:

pro fix CVE-2026-98432 --dry-run

නිවැරදි කිරීම මුදා හැරීමෙන් පසු, එය ස්ථාපනය කර නැවත ආරම්භ කරන්න:

apt update
apt full-upgrade
reboot

එතෙක්, පියවර 3 හි තාවකාලික ආරක්ෂාව යෙදීමට වග බලා ගන්න.

ඇල්මා ලිනක්ස් 8, 9, 10

ස්ථාවර කර්නල් දැනට ඇත්තේ පරීක්ෂණ ගබඩාවේ පමණි. නිෂ්පාදන සේවාදායකයක එසේ කිරීමට ඔබට පහසු නම් ඒවා ස්ථාපනය කරන්න, යාවත්කාලීන කිරීමට පෙර සැණෙළියක් ගැනීමට වග බලා ගන්න:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

නැවත ආරම්භ කිරීමෙන් පසු, සංසන්දනය කරන්න uname -r ඉහත වගුවේ ඇති අනුවාද සමඟ. ඔබ පරීක්ෂණ පැකේජ ස්ථාපනය නොකිරීමට කැමති නම්, තාවකාලික ආරක්ෂාව යොදන්න සහ නිවැරදි කිරීම ප්‍රධාන ගබඩාවට ළඟා වන තෙක් රැඳී සිටින්න.

රොකී ලිනක්ස් සහ අනෙකුත් RHEL-පාදක පද්ධති

තවමත් විසඳුමක් නැත. ඔබට එය පහත පරිදි නැරඹිය හැකිය:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

නිවැරදි කිරීම මුදා හැරීමෙන් පසු:

dnf update kernel
reboot

යාවත්කාලීන කිරීමෙන් පසු: නැවත ආරම්භ කිරීමක් අවශ්‍ය වේ

නව කර්නලය ක්‍රියාත්මක වන්නේ නැවත පණගැන්වීමෙන් පසුව පමණි. එකක් අවශ්‍ය දැයි පරීක්ෂා කිරීමට:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

නැවත පණගැන්වීමෙන් පසු, පියවර 1 සිට පරීක්ෂාව නැවත කරන්න.

පියවර 3. ස්ථාවර කර්නලයක් ලැබෙන තුරු තාවකාලික ආරක්ෂාව

මෙම පියවර අවදානම අඩු කරයි, නමුත් කර්නල් යාවත්කාලීන කිරීමක් ප්‍රතිස්ථාපනය නොකරයි.

ප්‍රේරක පැකට් අවහිර කරන්න

ප්‍රහාරය IPv4 ශීර්ෂයේ IP විකල්ප සහිත TCP පැකට් භාවිතා කරයි. ඒවා සාමාන්‍ය ගමනාගමනයේදී ප්‍රායෝගිකව කිසිදා නොපෙන්වන අතර RFC 7126 දැනටමත් ඒවා අතහැර දැමීමට නිර්දේශ කරයි. පහත nftables රීතිය විකල්ප සහිත සියලුම එන IPv4 TCP පැකට් අතහැර දමන අතර IPv6, UDP හෝ ICMP වලට බලපාන්නේ නැත. එය ufw සහ firewalld සමඟ ක්‍රියා කරයි.

nftables දැනටමත් ස්ථාපනය කර නොමැති නම් එය ස්ථාපනය කරන්න:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

නීති ගොනුව සාදන්න:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

සෑම නැවත පණගැන්වීමකින් පසු රීතිය යථා තත්වයට පත් කිරීම සඳහා, systemd සේවාවක් සාදන්න:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

රීතිය පටවා ඇත්දැයි පරීක්ෂා කරන්න:

nft list table ip cve_2026_98432

ඔබ ගෝලීය සමඟ nftables සේවාව නැවත ආරම්භ කළහොත් flush ruleset පාලනය කරන්න, දුවන්න systemctl restart cve-2026-98432 පසුව.

වැදගත්: CIPSO ලේබල් (SELinux හෝ Smack NetLabel) භාවිතා කරන ජාල වල මෙම රීතිය යොදන්න එපා - IP විකල්ප සාමාන්‍යයෙන් එහි භාවිතා වේ. ඔබේ සේවාදායකය වෙනත් යන්ත්‍ර සඳහා ගමනාගමනය යොමු කරන්නේ නම්, රීතිය IP විකල්ප සමඟ ඔවුන්ගේ TCP පැකට් ද අතහැර දමනු ඇත.

ඔබට අවශ්‍ය නැතිනම් MPTCP අක්‍රීය කරන්න.

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

මෙම සැකසුම වළක්වන්නේ අළුත් MPTCP සොකට් නිර්මාණය වෙමින් පවතී. දැනටමත් ක්‍රියාත්මක වන සේවාවන් MPTCP හරහා සවන් දීම දිගටම කරගෙන යනු ඇත, එබැවින් ලැයිස්තුගත කර ඇති සෑම සේවාවක්ම නැවත ආරම්භ කරන්න ss -lnMp සහ එහි ප්‍රතිදානය දැන් හිස් බව සහතික කර ගන්න.

AlmaLinux හි, ඔබ විසින්ම එය සක්‍රීය නොකළහොත් MPTCP පෙරනිමියෙන් අක්‍රිය කර ඇත.

Go වැඩසටහන් වල MPTCP අක්‍රීය කරන්න.

Go 1.24 හෝ ඊට පසු අනුවාදයක් සමඟ ගොඩනගා ඇති සේවාවන් සඳහා, ඔබට පරිසර විචල්‍යයක් සමඟ MPTCP අක්‍රිය කළ හැකිය. උදාහරණයක් ලෙස, myservice:

systemctl edit myservice

විවෘත වන ගොනුවට පහත සඳහන් දෑ එක් කරන්න:

[Service]
Environment=GODEBUG=multipathtcp=0

ඉන්පසු සේවාව නැවත ආරම්භ කරන්න:

systemctl restart myservice

Xray යාවත්කාලීන කරන්න

ඔබගේ සේවාදායකය Xray ධාවනය කරන්නේ නම්, එය v26.10.31 හෝ ඊට පසු අනුවාදයකට යාවත්කාලීන කරන්න. පෙර අනුවාදය වන v26.10.29, එහි සංවර්ධකයින් විසින් ඉවත් කර ඇත. මෙම යාවත්කාලීනය MPTCP අක්‍රීය කරයි නමුත් කර්නලය නිවැරදි නොකරයි, එබැවින් කර්නල් යාවත්කාලීන කිරීමක් තවමත් අවශ්‍ය වේ.

තවත් සැකසුමක් පරීක්ෂා කරන්න

දෙවන, පටු සූරාකෑමේ මාර්ගයක් සඳහා ඉල්ලීම් සංක්‍රමණය සක්‍රීය කිරීම අවශ්‍ය වේ. එය පෙරනිමියෙන් අක්‍රියයි — එය සහතික කර ගන්න:

sysctl net.ipv4.tcp_migrate_req

විධානය මුද්‍රණය කළ යුතුය 0.

ඔබගේ සේවාවන් වෙත ප්‍රවේශය සීමා කරන්න

අන්තර්ජාලය හරහා සම්බන්ධ වීමට අවශ්‍ය නොවන සෑම ෆයර්වෝල් පෝට් එකක්ම වසා දමන්න. හැකි සෑම විටම, පරිපාලන සේවා - SSH, පාලන පැනල, දත්ත සමුදායන් - විශ්වාසදායක IP ලිපින වලට පමණක් විවෘත කරන්න.

පියවර 4. ස්ථාවර කර්නලය ස්ථාපනය කිරීමෙන් පසු

1. සේවාදායකය නැවත ආරම්භ කර ස්ථාවර කර්නලය ක්‍රියාත්මක වන බව තහවුරු කිරීමට පියවර 1 හි විධාන භාවිතා කරන්න.
2. ඔබට තාවකාලික රීතිය ඉවත් කළ හැකිය:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. ඔබට MPTCP අවශ්‍ය නම්, සැකසුම ප්‍රතිස්ථාපනය කරන්න: මකන්න /etc/sysctl.d/99-disable-mptcp.conf දුවන්න sysctl -w net.mptcp.enabled=1.

මොකක් හරි වැරදුනොත්

කර්නල් යාවත්කාලීන කිරීමෙන් පසු ඔබේ සේවාදායකය ආරම්භ නොවන්නේ නම්, පාලක පැනලයේ VNC කොන්සෝලය හරහා සම්බන්ධ වී ඇරඹුම් මෙනුවේ පෙර කර්නලය තෝරන්න. ඔබට මෙය තනිවම කළ හැකි යැයි ඔබට විශ්වාස නැත්නම්, හෝ යාවත්කාලීන කිරීම සම්බන්ධයෙන් උදව් අවශ්‍ය නම්, අපගේ සහාය කණ්ඩායම අමතන්න.