Kritična ranljivost jedra Linuxa CVE-2026-98432: Kako preveriti in posodobiti svoj VPS

Oktobra 2026 je bila v jedru Linuxa najdena kritična ranljivost CVE-2026-98432 , ki je bila na lestvici CVSS ocenjena z 9.8 od 10. Vpliva na način ravnanja z dohodnimi povezavami IPv4 TCP in pod določenimi pogoji napadalcu omogoča oddaljen dostop do strežnika s pravicami root – brez gesla in brez potrebe po ukrepanju skrbnika.

Spodaj je opisano, kdo je prizadet, kako preveriti strežnik in kako ga zaščititi. Vsi ukazi se izvajajo kot root ali z sudo.

Ranljivost na kratko

• Kaj je to: napaka v kodi, ki vzpostavlja povezave IPv4 TCP in jo povzroča tekmovalni pogoj (dirke). Napadalec pošlje posebej oblikovane pakete na vsa odprta vrata TCP.
• Prizadeta jedra: vse različice od Linuxa 4.4 naprej, kar pomeni praktično vse trenutne distribucije.
• IPv6 ni prizadet zaradi glavne napake.
• Kako resnična je grožnja: Raziskovalci Anthropic so predstavili delujočo verigo izkoriščanja, ki je v približno 53 minutah pridobila root dostop na strežniku z omogočenim protokolom Multipath TCP (MPTCP). Koda izkoriščanja še ni bila objavljena.
• Napadi v divjini: Do 1. novembra 2026 ni bilo poročil o nobeni zlorabi. To je razlog za mirno posodobitev, ne pa razlog za odlašanje.

Storitve Go predstavljajo ločeno tveganje. Od različice Go 1.24 naprej strežniški programi v Linuxu privzeto poslušajo na vratih prek MPTCP, kadar koli jedro to dovoljuje. Skrbnik morda sploh ne ve, da njegov strežnik sprejema takšne povezave. Med priljubljenimi programi Xray deluje na ta način – njegovi razvijalci so že izdali zasilno različico, v26.10.31, ki privzeto onemogoči MPTCP.

Vsak VPS ima svoje jedro, zato morate jedro znotraj strežnika posodobiti sami. Vozlišča za virtualizacijo posodabljamo sami.

Ali obstaja rešitev za vaš sistem

Stanje od 1. novembra 2026. Popravki prihajajo skoraj vsak dan – za trenutno stanje preverite povezave na koncu tega članka.

1. korak. Preverite, katero jedro uporabljate

Poiščite različico delujočega jedra:

uname -r

Samo številka različice vam ne pove ničesar: distribucije prenesejo popravke v svoja jedra, ne da bi spremenile osnovno različico. Zanesljiveje je preveriti dnevnik sprememb paketa jedra – če omenja številko CVE, je popravek že nameščen.

Debian in Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

V Debianu, uname -v Ukaz prikaže tudi celotno različico paketa delujočega jedra: primerjajte jo z zgornjo tabelo.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Če ukaz ne izpiše ničesar, je delujoče jedro ranljivo.

Nato preverite, katere storitve sprejemajo povezave prek MPTCP. Tarča demonstriranega napada so bili strežniki, kot so ti:

ss -lnMp

Prazen izhod pomeni, da ni poslušalcev MPTCP.

Korak 2. Namestite popravljeno jedro

Pred posodobitvijo jedra naredite varnostno kopijo ali posnetek strežnika.

Debian 12 in 13

Popravljena jedra so v varnostnem repozitoriju. Prepričajte se, da je omogočeno:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Če ne najdete ničesar, dodajte security.debian.org repozitorij za vašo izdajo. Nato posodobite sistem:

apt update
apt full-upgrade
reboot

Ubuntu

Popravljena jedra še niso bila izdana. Preverite posodobitve:

apt update
apt list --upgradable | grep linux-image

Če je vaš strežnik priključen na Ubuntu Pro, lahko preverite načrt popravkov:

pro fix CVE-2026-98432 --dry-run

Ko je popravek izdan, ga namestite in znova zaženite računalnik:

apt update
apt full-upgrade
reboot

Do takrat obvezno uporabite začasno zaščito iz 3. koraka.

AlmaLinux 8, 9, 10

Popravljena jedra so trenutno na voljo samo v testnem repozitoriju. Namestite jih, če vam je to udobno na produkcijskem strežniku, in pred posodobitvijo poskrbite za posnetek sistema:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Po ponovnem zagonu primerjajte uname -r z različicami v zgornji tabeli. Če testnih paketov ne želite namestiti, uporabite začasno zaščito in počakajte, da popravek doseže glavno skladišče.

Rocky Linux in drugi sistemi, ki temeljijo na RHEL-u

Popravka še ni. Lahko ga spremljate z:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Ko je popravek izdan:

dnf update kernel
reboot

Po posodobitvi: potreben je ponovni zagon

Novo jedro začne veljati šele po ponovnem zagonu. Če želite preveriti, ali ga potrebujete:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Po ponovnem zagonu ponovite preverjanje od 1. koraka.

3. korak. Začasna zaščita, dokler ni na voljo popravljeno jedro

Ti ukrepi zmanjšujejo tveganje, vendar ne nadomeščajo posodobitve jedra.

Blokiraj sprožilne pakete

Napad uporablja TCP pakete z možnostmi IP v glavi IPv4. V običajnem prometu se praktično nikoli ne pojavijo, RFC 7126 pa že priporoča njihovo zavrženje. Spodnje pravilo nftables zavrže vse dohodne IPv4 TCP pakete z možnostmi in ne vpliva na IPv6, UDP ali ICMP. Deluje skupaj z ufw in firewalld.

Namestite nftables, če še ni nameščen:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Ustvarite datoteko s pravili:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Če želite, da se pravilo obnovi po vsakem ponovnem zagonu, ustvarite storitev systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Preverite, ali je pravilo naloženo:

nft list table ip cve_2026_98432

Če storitev nftables znova zaženete z globalno flush ruleset pravilo, tek systemctl restart cve-2026-98432 kasneje.

Pomembno: tega pravila ne uporabljajte v omrežjih, ki uporabljajo oznake CIPSO (SELinux ali Smack NetLabel) – tam se običajno uporabljajo možnosti IP. Če vaš strežnik usmerja promet za druge računalnike, bo pravilo zavrglo tudi njihove pakete TCP z možnostmi IP.

Onemogočite MPTCP, če ga ne potrebujete

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ta nastavitev preprečuje le novo Vtičnice MPTCP se ne bodo ustvarjale. Storitve, ki se že izvajajo, bodo še naprej poslušale prek MPTCP, zato znova zaženite vse storitve, ki so navedene v ss -lnMp in se prepričajte, da je njegov izhod zdaj prazen.

V sistemu AlmaLinux je MPTCP privzeto onemogočen, razen če ga sami omogočite.

Onemogočite MPTCP v programih Go

Za storitve, zgrajene z Go 1.24 ali novejšim, lahko MPTCP onemogočite z okoljsko spremenljivko. Na primer, za storitev z imenom myservice:

systemctl edit myservice

V datoteko, ki se odpre, dodajte naslednje:

[Service]
Environment=GODEBUG=multipathtcp=0

Nato znova zaženite storitev:

systemctl restart myservice

Posodobi rentgenski posnetek

Če vaš strežnik uporablja Xray, ga posodobite na različico v26.10.31 ali novejšo. Prejšnjo različico, v26.10.29, so razvijalci umaknili. Ta posodobitev onemogoči MPTCP, vendar ne popravi jedra, zato je posodobitev jedra še vedno potrebna.

Preverite še eno nastavitev

Druga, ožja pot izkoriščanja zahteva omogočeno migracijo zahtev. Privzeto je izklopljena – prepričajte se, da je omogočena:

sysctl net.ipv4.tcp_migrate_req

Ukaz naj se izpiše 0.

Omejite dostop do svojih storitev

Zaprite vsa vrata požarnega zidu, ki niso nujno dostopna iz interneta. Kjer je mogoče, odprite skrbniške storitve – SSH, nadzorne plošče, baze podatkov – samo za zaupanja vredne naslove IP.

Korak 4. Po namestitvi popravljenega jedra

1. Znova zaženite strežnik in z ukazi iz 1. koraka potrdite, da se popravljeno jedro izvaja.
2. Začasno pravilo lahko odstranite:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Če potrebujete MPTCP, obnovite nastavitev: izbrišite /etc/sysctl.d/99-disable-mptcp.conf in teči sysctl -w net.mptcp.enabled=1.

Če gre kaj narobe

Če se vaš strežnik po posodobitvi jedra ne zažene, se povežite prek konzole VNC v nadzorni plošči in v zagonskem meniju izberite prejšnje jedro. Če niste prepričani, ali lahko to storite sami, ali potrebujete pomoč pri posodobitvi, se obrnite na našo podporno ekipo.