Kritická zraniteľnosť jadra Linuxu CVE-2026-98432: Ako skontrolovať a aktualizovať svoj VPS

V októbri 2026 bola v jadre Linuxu nájdená kritická zraniteľnosť CVE-2026-98432 , ktorá získala na stupnici CVSS hodnotenie 9.8 z 10. Ovplyvňuje spôsob spracovania prichádzajúcich pripojení IPv4 TCP a za určitých podmienok umožňuje útočníkovi získať root prístup k serveru na diaľku – bez hesla a bez nutnosti zásahu správcu.

Nižšie je uvedené, koho sa to týka, ako skontrolovať server a ako ho chrániť. Všetky príkazy sa spúšťajú ako root alebo s sudo.

Zraniteľnosť v skratke

• Čo to je: chyba typu „use-after-free“ v kóde, ktorá nastavuje IPv4 TCP pripojenia, spôsobená súbehom. Útočník odosiela špeciálne vytvorené pakety na akýkoľvek otvorený TCP port.
• Ovplyvnené jadrá: každá verzia od Linuxu 4.4, čo znamená prakticky každá aktuálna distribúcia.
• IPv6 nie je ovplyvnený hlavnou chybou.
• Aká reálna je táto hrozba: Výskumníci spoločnosti Anthropic predviedli funkčný reťazec exploitov, ktorý získal root prístup na serveri s povoleným protokolom Multipath TCP (MPTCP) za približne 53 minút. Kód exploitu nebol zverejnený.
• Útoky vo voľnej prírode: K 1. novembru 2026 nebolo hlásené žiadne zneužitie. To je dôvod na pokojnú aktualizáciu, nie dôvod na jej odkladanie.

Služby Go nesú samostatné riziko. Od verzie Go 1.24 serverové programy v systéme Linux štandardne počúvajú na portoch cez MPTCP vždy, keď to jadro umožňuje. Správca nemusí ani vedieť, že jeho server takéto pripojenia akceptuje. Spomedzi populárnych programov funguje Xray týmto spôsobom – jeho vývojári už vydali núdzovú verziu v26.10.31, ktorá štandardne zakazuje MPTCP.

Každý VPS má vlastné jadro, takže si ho musíte aktualizovať sami. Virtualizačné uzly aktualizujeme sami.

Existuje oprava pre váš systém

Stav k 1. novembru 2026. Opravy prichádzajú takmer denne – aktuálny stav nájdete v odkazoch na konci tohto článku.

Krok 1. Skontrolujte, ktoré jadro používate

Zistite verziu bežiaceho jadra:

uname -r

Samotné číslo verzie vám nič nehovorí: distribúcie spätne portujú opravy do vlastných jadier bez zmeny základnej verzie. Spoľahlivejšie je skontrolovať zoznam zmien v balíku jadra – ak sa v ňom uvádza číslo CVE, oprava je už nainštalovaná.

Debian a Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

V Debiane, uname -v Príkaz tiež zobrazuje plnú verziu balíka bežiaceho jadra: porovnajte ju s tabuľkou vyššie.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Ak príkaz nič nevypíše, spustené jadro je zraniteľné.

Ďalej skontrolujte, ktoré služby akceptujú pripojenia cez MPTCP. Cieľom demonštrovaného útoku boli servery, ako sú tieto:

ss -lnMp

Prázdny výstup znamená, že neexistujú žiadne poslucháče MPTCP.

Krok 2. Nainštalujte opravené jadro

Pred aktualizáciou jadra si urobte zálohu alebo snímku servera.

Debian 12 a 13

Opravené jadrá sú v bezpečnostnom repozitári. Uistite sa, že je povolený:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Ak sa nič nenájde, pridajte security.debian.org repozitár pre vaše vydanie. Potom aktualizujte systém:

apt update
apt full-upgrade
reboot

ubuntu

Opravené jadrá ešte neboli vydané. Skontrolujte aktualizácie:

apt update
apt list --upgradable | grep linux-image

Ak je váš server pripojený k Ubuntu Pro, môžete si pozrieť plán opráv:

pro fix CVE-2026-98432 --dry-run

Po vydaní opravy ju nainštalujte a reštartujte počítač:

apt update
apt full-upgrade
reboot

Dovtedy nezabudnite použiť dočasnú ochranu z kroku 3.

AlmaLinux 8, 9, 10

Opravené jadrá sú momentálne dostupné iba v testovacom repozitári. Nainštalujte si ich, ak vám to vyhovuje na produkčnom serveri, a pred aktualizáciou si nezabudnite urobiť snímku systému:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Po reštarte porovnajte uname -r s verziami v tabuľke vyššie. Ak radšej nechcete inštalovať testovacie balíky, použite dočasnú ochranu a počkajte, kým sa oprava dostane do hlavného repozitára.

Rocky Linux a ďalšie systémy založené na RHEL

Zatiaľ neexistuje žiadna oprava. Môžete ju sledovať pomocou:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Po vydaní opravy:

dnf update kernel
reboot

Po aktualizácii: je potrebný reštart

Nové jadro sa prejaví až po reštarte. Ak chcete skontrolovať, či je potrebné:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Po reštarte zopakujte kontrolu od kroku 1.

Krok 3. Dočasná ochrana, kým nebude k dispozícii opravené jadro

Tieto opatrenia znižujú riziko, ale nenahrádzajú aktualizáciu jadra.

Blokovať spúšťacie pakety

Útok používa TCP pakety s IP možnosťami v hlavičke IPv4. V bežnej prevádzke sa prakticky nikdy neobjavia a RFC 7126 už odporúča ich zahodenie. Pravidlo nftables uvedené nižšie zahodí všetky prichádzajúce IPv4 TCP pakety s možnosťami a neovplyvní IPv6, UDP ani ICMP. Funguje spoločne s ufw a firewalld.

Nainštalujte nftables, ak ešte nie je nainštalovaný:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Vytvorte súbor s pravidlami:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Ak chcete, aby sa pravidlo obnovilo po každom reštarte, vytvorte službu systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Skontrolujte, či je pravidlo načítané:

nft list table ip cve_2026_98432

Ak reštartujete službu nftables s globálnym flush ruleset pravidlo, beh systemctl restart cve-2026-98432 neskôr.

Dôležité: Toto pravidlo neaplikujte na siete používajúce označenia CIPSO (SELinux alebo Smack NetLabel) – tam sa bežne používajú možnosti IP. Ak váš server smeruje prevádzku pre iné počítače, pravidlo tiež zahodí ich TCP pakety s možnosťami IP.

Vypnite MPTCP, ak ho nepotrebujete

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Toto nastavenie zabráni iba nový Vytváranie soketov MPTCP. Služby, ktoré už bežia, budú naďalej počúvať cez MPTCP, preto reštartujte každú službu uvedenú v zozname ss -lnMp a uistite sa, že jeho výstup je teraz prázdny.

V systéme AlmaLinux je protokol MPTCP predvolene vypnutý, pokiaľ ste ho sami nepovolili.

Zakázanie MPTCP v programoch Go

Pre služby vytvorené pomocou Go 1.24 alebo novšieho môžete MPTCP zakázať pomocou premennej prostredia. Napríklad pre službu s názvom myservice:

systemctl edit myservice

Do otvoreného súboru pridajte nasledovné:

[Service]
Environment=GODEBUG=multipathtcp=0

Potom reštartujte službu:

systemctl restart myservice

Aktualizácia röntgenu

Ak váš server používa Xray, aktualizujte ho na verziu v26.10.31 alebo novšiu. Predchádzajúca verzia, v26.10.29, bola stiahaná jej vývojármi. Táto aktualizácia deaktivuje MPTCP, ale neopravuje jadro, takže aktualizácia jadra je stále potrebná.

Skontrolujte ešte jedno nastavenie

Druhá, užšia cesta zneužitia vyžaduje povolenie migrácie požiadaviek. Predvolene je vypnutá – uistite sa, že je zapnutá:

sysctl net.ipv4.tcp_migrate_req

Príkaz by sa mal vytlačiť 0.

Obmedziť prístup k vašim službám

Zatvorte všetky porty firewallu, ktoré nemusia byť dostupné z internetu. Ak je to možné, otvárajte administratívne služby – SSH, ovládacie panely, databázy – iba pre dôveryhodné IP adresy.

Krok 4. Po nainštalovaní opraveného jadra

1. Reštartujte server a pomocou príkazov z kroku 1 overte, či opravené jadro beží.
2. Dočasné pravidlo môžete odstrániť:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Ak potrebujete MPTCP, obnovte nastavenie: vymažte /etc/sysctl.d/99-disable-mptcp.conf a spustiť sysctl -w net.mptcp.enabled=1.

Ak sa niečo pokazí

Ak sa váš server po aktualizácii jadra nespustí, pripojte sa cez konzolu VNC v ovládacom paneli a v ponuke spúšťania vyberte predchádzajúce jadro. Ak si nie ste istí, či to dokážete urobiť sami, alebo potrebujete pomoc s aktualizáciou, kontaktujte náš tím podpory.