Критична рањивост језгра Линукса CVE-2026-98432: Како проверити и ажурирати свој VPS

У октобру 2026. године, критична рањивост, CVE-2026-98432 , пронађена је у Линуксовом језгру, оцењена са 9.8 од 10 на CVSS скали. Она утиче на начин на који се обрађују долазне IPv4 TCP везе и, под одређеним условима, омогућава нападачу да добије root приступ серверу на даљину — без лозинке и без потребе за акцијом администратора.

У наставку је наведено ко је погођен, како да проверите свој сервер и како да га заштитите. Све команде се извршавају као root или са sudo.

Укратко о рањивости

• Шта је то: Грешка у коду која подразумева коришћење након ослобађања пакета (use-after-free) и подешавање IPv4 TCP конекција, узрокована условом трке (trke). Нападач шаље посебно креиране пакете на било који отворени TCP порт.
• Погођена језгра: свака верзија од Линукса 4.4, што значи практично свака тренутна дистрибуција.
• ИПвКСНУМКС није погођен главном грешком.
• Колико је претња реална: Истраживачи компаније Anthropic демонстрирали су функционалан ланац експлоита који је омогућио root приступ на серверу са омогућеним Multipath TCP (MPTCP) протоколом за око 53 минута. Код експлоита није објављен.
• Напади у дивљини: Од 1. новембра 2026. године није пријављена никаква експлоатација. То је разлог за мирно ажурирање, а не разлог за одлагање.

Go сервиси носе посебан ризик. Од Go 1.24, серверски програми на Linux-у слушају на портовима преко MPTCP-а подразумевано кад год језгро то дозвољава. Администратор можда чак ни не зна да њихов сервер прихвата такве везе. Међу популарним програмима, Xray ради на овај начин — његови програмери су већ објавили хитну верзију, v26.10.31, која подразумевано онемогућава MPTCP.

Сваки VPS покреће сопствено језгро, тако да морате сами да ажурирате језгро унутар вашег сервера. Ми сами ажурирамо чворове за виртуелизацију.

Да ли постоји решење за ваш систем

Статус од 1. новембра 2026. Исправке се појављују скоро свакодневно — проверите линкове на крају овог чланка за тренутни статус.

Корак 1. Проверите које језгро користите

Сазнајте верзију покренутог језгра:

uname -r

Сам број верзије вам ништа не говори: дистрибуције преносе исправке у своја језгра без промене основне верзије. Поузданије је проверити дневник промена пакета језгра — ако се у њему помиње CVE број, исправка је већ инсталирана.

Дебијан и Убунту:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

На Дебијану, uname -v Команда такође приказује пуну верзију пакета покренутог језгра: упоредите је са горњом табелом.

АлмаЛинукс, Роки Линукс, РХЕЛ, Оракл Линукс:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Ако команда не испише ништа, покренуто језгро је рањиво.

Затим, проверите које услуге прихватају везе путем MPTCP-а. Сервери попут ових су били мета у демонстрираном нападу:

ss -lnMp

Празан излаз значи да нема MPTCP слушача.

Корак 2. Инсталирајте фиксно језгро

Направите резервну копију или снимак вашег сервера пре ажурирања језгра.

Дебиан 12 и 13

Фиксна језгра се налазе у безбедносном репозиторијуму. Уверите се да је омогућено:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Ако ништа није пронађено, додајте security.debian.org репозиторијум за ваше издање. Затим ажурирајте систем:

apt update
apt full-upgrade
reboot

убунту

Исправљена језгра још нису објављена. Проверите ажурирања:

apt update
apt list --upgradable | grep linux-image

Ако је ваш сервер повезан са Ubuntu Pro, можете проверити план поправке:

pro fix CVE-2026-98432 --dry-run

Када се исправка објави, инсталирајте је и поново покрените систем:

apt update
apt full-upgrade
reboot

До тада, обавезно примените привремену заштиту из корака 3.

АлмаЛинукс 8, 9, 10

Фиксна језгра су тренутно доступна само у репозиторијуму за тестирање. Инсталирајте их ако вам је удобно да то радите на продукцијском серверу и обавезно направите снимак пре ажурирања:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Након поновног покретања, упоредите uname -r са верзијама у горњој табели. Ако не желите да инсталирате тестне пакете, примените привремену заштиту и сачекајте да исправка стигне до главног репозиторијума.

Роки Линукс и други системи засновани на RHEL-у

Још увек нема решења. Можете га пратити помоћу:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Када се исправка објави:

dnf update kernel
reboot

Након ажурирања: потребно је поновно покретање система

Ново језгро ступа на снагу тек након поновног покретања система. Да бисте проверили да ли је потребно:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Након поновног покретања, поновите проверу од корака 1.

Корак 3. Привремена заштита док не буде доступно фиксно језгро

Ове мере смањују ризик, али не замењују ажурирање језгра.

Блокирајте окидачке пакете

Напад користи TCP пакете са IP опцијама у IPv4 заглављу. Они се практично никада не појављују у нормалном саобраћају, а RFC 7126 већ препоручује њихово одбацивање. Правило nftables испод одбацује све долазне IPv4 TCP пакете са опцијама и не утиче на IPv6, UDP или ICMP. Ради заједно са ufw и firewalld.

Инсталирајте nftables ако већ није инсталиран:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Направите датотеку са правилима:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Да би се правило вратило након сваког поновног покретања, креирајте системску услугу:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Проверите да ли је правило учитано:

nft list table ip cve_2026_98432

Ако поново покренете nftables сервис са глобалним flush ruleset правило, трчање systemctl restart cve-2026-98432 после.

Важно: не примењујте ово правило на мреже које користе CIPSO ознаке (SELinux или Smack NetLabel) — тамо се IP опције нормално користе. Ако ваш сервер усмерава саобраћај за друге машине, правило ће такође одбацити њихове TCP пакете са IP опцијама.

Онемогућите MPTCP ако вам није потребан

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ово подешавање само спречава нови MPTCP сокети се не креирају. Сервиси који су већ покренути ће наставити да слушају преко MPTCP-а, па поново покрените сваки сервис наведен од стране ss -lnMp и уверите се да је његов излаз сада празан.

На AlmaLinux-у, MPTCP је подразумевано онемогућен, осим ако га сами нисте омогућили.

Онемогућите MPTCP у Go програмима

За сервисе направљене помоћу Go 1.24 или новије верзије, можете онемогућити MPTCP помоћу променљиве окружења. На пример, за сервис под називом myservice:

systemctl edit myservice

Додајте следеће у датотеку која се отвори:

[Service]
Environment=GODEBUG=multipathtcp=0

Затим поново покрените услугу:

systemctl restart myservice

Ажурирај рендген

Ако ваш сервер користи Xray, ажурирајте га на v26.10.31 или новију верзију. Претходну верзију, v26.10.29, повукли су њени програмери. Ова надоградња онемогућава MPTCP, али не поправља језгро, тако да је ажурирање језгра и даље потребно.

Проверите још једно подешавање

Други, ужи пут експлоатације захтева да миграција захтева буде омогућена. Подразумевано је искључена — уверите се у то:

sysctl net.ipv4.tcp_migrate_req

Команда треба да се испише 0.

Ограничите приступ својим услугама

Затворите сваки порт заштитног зида који не мора бити доступан са интернета. Кад год је то могуће, отворите административне сервисе — SSH, контролне панеле, базе података — само за поуздане IP адресе.

Корак 4. Након инсталирања фиксног језгра

1. Поново покрените сервер и користите команде из корака 1 да бисте потврдили да исправљено језгро ради.
2. Можете уклонити привремено правило:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Ако вам је потребан MPTCP, вратите подешавање: обришите /etc/sysctl.d/99-disable-mptcp.conf и трчи sysctl -w net.mptcp.enabled=1.

Ако нешто крене наопако

Ако се ваш сервер не покрене након ажурирања језгра, повежите се преко VNC конзоле у ​​контролној табли и изаберите претходно језгро у менију за покретање. Ако нисте сигурни да можете сами да урадите ово или вам је потребна помоћ око ажурирања, контактирајте наш тим за подршку.