Vulnerabiliteti Kritik i Bërthamës Linux CVE-2026-98432: Si të Kontrolloni dhe Përditësoni VPS-në tuaj

Në tetor 2026, një dobësi kritike, CVE-2026-98432 , u gjet në kernelin Linux, i vlerësuar me 9.8 nga 10 në shkallën CVSS. Ajo ndikon në mënyrën se si trajtohen lidhjet hyrëse IPv4 TCP dhe, në kushte të caktuara, i lejon një sulmuesi të fitojë akses root në një server nga distanca — pa fjalëkalim dhe pa asnjë veprim të kërkuar nga administratori.

Më poshtë është se kush është i prekur, si ta kontrolloni serverin tuaj dhe si ta mbroni atë. Të gjitha komandat ekzekutohen si root ose me sudo.

Dobësia shkurtimisht

• Çfarë ajo është: Një gabim "use-after-free" në kod që krijon lidhje TCP IPv4, i shkaktuar nga një kusht gare. Sulmuesi dërgon paketa të hartuara posaçërisht në çdo port TCP të hapur.
• Bërthamat e prekura: çdo version që nga Linux 4.4, që do të thotë praktikisht çdo shpërndarje aktuale.
• IPv6 nuk preket nga gabimi kryesor.
• Sa real është kërcënimi: Studiuesit antropotikë demonstruan një zinxhir shfrytëzimi funksional që fitoi akses rrënjësor në një server me Multipath TCP (MPTCP) të aktivizuar në rreth 53 minuta. Kodi i shfrytëzimit nuk është publikuar.
• Sulmet në natyrë: Që nga 1 nëntori 2026, nuk është raportuar asnjë shfrytëzim. Kjo është një arsye për ta përditësuar me qetësi, jo një arsye për ta shtyrë.

Shërbimet Go mbartin një rrezik të veçantë. Që nga Go 1.24, programet e serverit në Linux dëgjojnë në porta nëpërmjet MPTCP si parazgjedhje sa herë që kerneli e lejon këtë. Një administrator mund të mos e dijë fare që serveri i tij pranon lidhje të tilla. Ndër programet e njohura, Xray funksionon në këtë mënyrë - zhvilluesit e tij kanë publikuar tashmë një version emergjence, v26.10.31, i cili çaktivizon MPTCP si parazgjedhje.

Çdo VPS përdor kernelin e vet, kështu që duhet ta përditësoni vetë kernelin brenda serverit tuaj. Ne i përditësojmë vetë nyjet e virtualizimit.

A ka ndonjë zgjidhje për sistemin tuaj

Statusi që nga 1 nëntori 2026. Rregullimet po vijnë pothuajse çdo ditë — kontrolloni lidhjet në fund të këtij artikulli për statusin aktual.

Hapi 1. Kontrolloni se cilin kernel po përdorni

Gjeni versionin e kernelit që është në funksionim:

uname -r

Vetëm numri i versionit nuk ju tregon asgjë: shpërndarjet bëjnë rregullime të backportuara në kernel-et e tyre pa ndryshuar versionin bazë. Është më e besueshme të kontrolloni regjistrin e ndryshimeve të paketës së kernel-it - nëse përmend numrin CVE, rregullimi është instaluar tashmë.

Debian dhe Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Në Debian, uname -v komanda tregon gjithashtu versionin e plotë të paketës së kernelit në funksion: krahasojeni atë me tabelën më sipër.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Nëse komanda nuk shtyp asgjë, kerneli që po ekzekutohet është i prekshëm.

Më pas, kontrolloni se cilat shërbime pranojnë lidhje nëpërmjet MPTCP. Serverë si këta ishin shënjestra në sulmin e demonstruar:

ss -lnMp

Dalja bosh do të thotë që nuk ka dëgjues MPTCP.

Hapi 2. Instaloni kernelin e fiksuar

Bëni një kopje rezervë ose një pamje të çastit të serverit tuaj përpara se të përditësoni kernelin.

Debian 12 dhe 13

Bërthamat e fiksuara janë në depon e sigurisë. Sigurohuni që është aktivizuar:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Nëse nuk gjendet asgjë, shtoni security.debian.org repozitori për versionin tuaj. Pastaj përditësoni sistemin:

apt update
apt full-upgrade
reboot

Ubuntu

Bërthamat e rregulluara nuk janë publikuar ende. Kontrolloni për përditësime:

apt update
apt list --upgradable | grep linux-image

Nëse serveri juaj është i lidhur me Ubuntu Pro, mund të kontrolloni planin e rregullimit:

pro fix CVE-2026-98432 --dry-run

Pasi të publikohet rregullimi, instalojeni atë dhe ristartoni:

apt update
apt full-upgrade
reboot

Deri atëherë, sigurohuni që të aplikoni mbrojtjen e përkohshme nga Hapi 3.

AlmaLinux 8, 9, 10

Bërthamat e fiksuara janë aktualisht të disponueshme vetëm në depon e testimit. Instaloni ato nëse ndiheni rehat ta bëni këtë në një server prodhimi dhe sigurohuni që të bëni një pamje të çastit para se të përditësoni:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Pas rinisjes, krahaso uname -r me versionet në tabelën më sipër. Nëse nuk dëshironi të instaloni paketa testimi, aplikoni mbrojtjen e përkohshme dhe prisni që rregullimi të arrijë në depon kryesore.

Rocky Linux dhe sisteme të tjera të bazuara në RHEL

Ende nuk ka ndonjë zgjidhje. Mund ta prisni me:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Pasi të publikohet rregullimi:

dnf update kernel
reboot

Pas përditësimit: kërkohet një rinisje

Bërthama e re hyn në fuqi vetëm pas një rinisjeje. Për të kontrolluar nëse nevojitet një e tillë:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Pas rinisjes, përsëritni kontrollin nga Hapi 1.

Hapi 3. Mbrojtje e përkohshme derisa të jetë në dispozicion një kernel i fiksuar

Këto masa zvogëlojnë rrezikun, por nuk zëvendësojnë një përditësim të kernelit.

Blloko paketat e aktivizimit

Sulmi përdor paketa TCP me opsione IP në kokën IPv4. Ato praktikisht nuk shfaqen kurrë në trafikun normal, dhe RFC 7126 rekomandon heqjen e tyre. Rregulli nftables më poshtë heq të gjitha paketat hyrëse TCP IPv4 me opsione dhe nuk ndikon në IPv6, UDP ose ICMP. Funksionon së bashku me ufw dhe firewalld.

Instaloni nftables nëse nuk është instaluar tashmë:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Krijo skedarin e rregullave:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Për të rivendosur rregullin pas çdo rinisjeje, krijoni një shërbim systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Kontrolloni që rregulli është ngarkuar:

nft list table ip cve_2026_98432

Nëse e rinisni shërbimin nftables me një funksion global flush ruleset sundo, vrapo systemctl restart cve-2026-98432 me pas

E rëndësishme: mos e zbatoni këtë rregull në rrjetet që përdorin etiketat CIPSO (SELinux ose Smack NetLabel) — opsionet IP përdoren normalisht atje. Nëse serveri juaj drejton trafikun për makina të tjera, rregulli do të heqë gjithashtu paketat e tyre TCP me opsionet IP.

Çaktivizo MPTCP nëse nuk ke nevojë për të

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ky cilësim parandalon vetëm i ri Prizat MPTCP nga krijimi. Shërbimet që janë tashmë në funksion do të vazhdojnë të dëgjojnë nëpërmjet MPTCP, prandaj rinisni çdo shërbim të listuar nga ss -lnMp dhe sigurohuni që rezultati i tij tani është bosh.

Në AlmaLinux, MPTCP është i çaktivizuar si parazgjedhje, përveç nëse e aktivizoni vetë.

Çaktivizo MPTCP në programet Go

Për shërbimet e ndërtuara me Go 1.24 ose më të ri, mund ta çaktivizoni MPTCP-në me një ndryshore mjedisi. Për shembull, për një shërbim të quajtur myservice:

systemctl edit myservice

Shtoni sa vijon në skedarin që hapet:

[Service]
Environment=GODEBUG=multipathtcp=0

Pastaj rifilloni shërbimin:

systemctl restart myservice

Përditëso Xray-in

Nëse serveri juaj përdor Xray, përditësojeni atë në v26.10.31 ose më të ri. Versioni i mëparshëm, v26.10.29, është tërhequr nga zhvilluesit e tij. Ky përditësim çaktivizon MPTCP, por nuk e rregullon bërthamën, kështu që një përditësim i bërthamës është ende i nevojshëm.

Kontrolloni një cilësim tjetër

Një rrugë e dytë, më e ngushtë shfrytëzimi, kërkon që migrimi i kërkesave të jetë i aktivizuar. Është i çaktivizuar si parazgjedhje — sigurohuni që ta aktivizoni:

sysctl net.ipv4.tcp_migrate_req

Komanda duhet të shtypë 0.

Kufizoni aksesin në shërbimet tuaja

Mbyllni çdo portë të firewall-it që nuk ka nevojë të jetë e arritshme nga interneti. Kur është e mundur, hapni shërbimet administrative - SSH, panelet e kontrollit, bazat e të dhënave - vetëm në adresat IP të besueshme.

Hapi 4. Pas instalimit të kernelit të fiksuar

1. Rinisni serverin dhe përdorni komandat nga Hapi 1 për të konfirmuar që kerneli i rregulluar është duke funksionuar.
2. Mund ta hiqni rregullin e përkohshëm:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Nëse keni nevojë për MPTCP, rivendosni cilësimin: fshini /etc/sysctl.d/99-disable-mptcp.conf dhe vrapo sysctl -w net.mptcp.enabled=1.

Nëse diçka shkon keq

Nëse serveri juaj nuk niset pas përditësimit të kernelit, lidheni nëpërmjet konsolës VNC në panelin e kontrollit dhe zgjidhni kernelin e mëparshëm në menynë e nisjes. Nëse nuk jeni të sigurt nëse mund ta bëni vetë këtë, ose nëse keni nevojë për ndihmë me përditësimin, kontaktoni ekipin tonë të mbështetjes.