Kerentanan Kernel Linux Anu Penting CVE-2026-98432: Kumaha Mariksa sareng Ngapdet VPS Anjeun

Dina Oktober 2026, hiji kerentanan kritis, CVE-2026-98432 , kapanggih dina kernel Linux, dipeunteun 9.8 tina 10 dina skala CVSS. Éta mangaruhan kumaha sambungan IPv4 TCP anu lebet diurus sareng, dina kaayaan anu tangtu, ngamungkinkeun panyerang kéngingkeun aksés root ka server jarak jauh — tanpa kecap akses sareng tanpa tindakan anu diperyogikeun ti administrator.

Di handap ieu saha waé anu kapangaruhan, kumaha carana mariksa server anjeun sareng kumaha carana ngajagana. Sadaya paréntah dijalankeun salaku root atanapi nganggo sudo.

Sacara ringkes, kerentanan

• Naon éta: bug use-after-free dina kode anu nyetél sambungan IPv4 TCP, disababkeun ku kaayaan balapan. Panyerang ngirim pakét anu didamel khusus ka port TCP anu kabuka.
• Kernel anu kapangaruhan: unggal vérsi ti saprak Linux 4.4, anu hartosna ampir unggal distribusi ayeuna.
• IPv6 teu kapangaruhan ku bug utama.
• Kumaha nyata ancaman éta: Para panalungtik antropik nunjukkeun ranté exploit anu tiasa dianggo anu kéngingkeun aksés root dina server anu nganggo Multipath TCP (MPTCP) diaktipkeun dina sakitar 53 menit. Kode exploit tacan dipedalkeun.
• Serangan di alam liar: Per 1 Nopémber 2026, teu aya laporan ngeunaan éksploitasi. Éta alesan pikeun ngapdet kalayan tenang, sanés alesan pikeun nunda.

Layanan Go ngagaduhan résiko anu misah. Kusabab Go 1.24, program server dina Linux ngadangukeun port via MPTCP sacara standar iraha waé kernel ngijinkeun. Administrator panginten henteu terang serverna nampi sambungan sapertos kitu. Di antara program anu populér, Xray jalanna sapertos kieu — pamekarna parantos ngarilis vérsi darurat, v26.10.31, anu mareuman MPTCP sacara standar.

Unggal VPS ngajalankeun kernelna sorangan, janten anjeun kedah ngapdet kernel di jero server anjeun nyalira. Kami ngapdet node virtualisasi nyalira.

Naha aya perbaikan pikeun sistem anjeun

Status per 1 Nopémber 2026. Perbaikan ampir unggal dinten sumping — parios tautan di ahir tulisan ieu pikeun status ayeuna.

Léngkah 1. Pariksa kernel mana anu anjeun jalankeun

Panggihan versi kernel anu dijalankeun:

uname -r

Nomer vérsi waé teu nunjukkeun nanaon: backport distribusi ngalereskeun kana kernel sorangan tanpa ngarobih vérsi dasar. Leuwih dipercaya pikeun mariksa changelog pakét kernel — upami nyebatkeun nomer CVE, perbaikan parantos dipasang.

Debian sareng Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Dina Debian, éta uname -v Paréntah ieu ogé némbongkeun vérsi pakét lengkep tina kernel anu dijalankeun: bandingkeun sareng tabel di luhur.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Upami paréntah henteu nyitak nanaon, kernel anu dijalankeun rentan.

Salajengna, pariksa layanan mana anu nampi sambungan via MPTCP. Server sapertos kieu anu janten target dina serangan anu dipidangkeun:

ss -lnMp

Kaluaran kosong hartina teu aya pamiarsa MPTCP.

Léngkah 2. Pasang kernel anu parantos dibenerkeun

Jieun cadangan atanapi snapshot server anjeun sateuacan ngapdet kernel.

Debian 12 sareng 13

Kernel anu parantos dibenerkeun aya dina gudang kaamanan. Pastikeun éta diaktipkeun:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Upami teu aya anu kapendak, tambahkeun security.debian.org gudang pikeun rilis anjeun. Teras perbarui sistem:

apt update
apt full-upgrade
reboot

Ubuntu

Kernel anu parantos diropéa tacan dirilis. Pariksa apdetna:

apt update
apt list --upgradable | grep linux-image

Upami server anjeun napel kana Ubuntu Pro, anjeun tiasa mariksa rencana perbaikanna:

pro fix CVE-2026-98432 --dry-run

Sakali perbaikan parantos dileupaskeun, pasang teras reboot:

apt update
apt full-upgrade
reboot

Nepi ka harita, pastikeun pikeun nerapkeun panyalindungan samentawis ti Léngkah 3.

AlmaLinux 8, 9, 10

Kernel anu tos dibenerkeun ayeuna ngan sayogi dina gudang uji coba. Pasang upami anjeun nyaman ngalakukeunana dina server produksi, sareng pastikeun nyandak snapshot sateuacan ngapdet:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Saatos di-reboot, bandingkeun uname -r sareng vérsi dina tabel di luhur. Upami anjeun langkung milih henteu masang pakét uji coba, terapkeun panyalindungan samentawis sareng antosan dugi ka perbaikan dugi ka gudang utama.

Rocky Linux sareng sistem berbasis RHEL anu sanésna

Tacan aya solusina. Anjeun tiasa ningalina nganggo:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Sakali perbaikan dileupaskeun:

dnf update kernel
reboot

Saatos ngapdet: diperyogikeun reboot

Kernel anyar ngan bakal efektif saatos di-reboot. Pikeun mariksa naha diperyogikeun:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Saatos di-reboot, balikan deui pamariksaan ti Lengkah 1.

Léngkah 3. Protéksi samentawis dugi ka kernel anu parantos ditetepkeun sayogi

Ukuran-ukuran ieu ngirangan résiko tapi henteu ngagentos apdet kernel.

Blokir pakét pemicu

Serangan ieu ngagunakeun pakét TCP kalayan pilihan IP dina header IPv4. Éta ampir teu pernah muncul dina lalu lintas normal, sareng RFC 7126 parantos nyarankeun pikeun miceun éta. Aturan nftables di handap ieu miceun sadaya pakét TCP IPv4 anu lebet kalayan pilihan sareng henteu mangaruhan IPv6, UDP atanapi ICMP. Éta tiasa dianggo sasarengan sareng ufw sareng firewalld.

Pasang nftables upami teu acan dipasang:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Jieun file aturan:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Pikeun mulangkeun aturan saatos unggal reboot, jieun layanan systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Pariksa yén aturan parantos dimuat:

nft list table ip cve_2026_98432

Upami anjeun ngamimitian deui layanan nftables nganggo global flush ruleset ngatur, ngajalankeun systemctl restart cve-2026-98432 saurna.

Penting: ulah nerapkeun aturan ieu dina jaringan anu nganggo labél CIPSO (SELinux atanapi Smack NetLabel) — pilihan IP biasana dianggo di dinya. Upami server anjeun ngarutekeun lalu lintas pikeun mesin sanés, aturan éta ogé bakal ngaleupaskeun pakét TCP na nganggo pilihan IP.

Nonaktipkeun MPTCP upami anjeun teu peryogina

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Setelan ieu ngan ukur nyegah anyar Soket MPTCP teu dijieun. Layanan anu parantos jalan bakal tetep ngadangukeun via MPTCP, janten mimitian deui unggal layanan anu didaptarkeun ku ss -lnMp sareng pastikeun kaluaranna ayeuna kosong.

Dina AlmaLinux, MPTCP ditumpurkeun sacara standar kajaba anjeun ngaktipkeunana nyalira.

Nonaktipkeun MPTCP dina program Go

Pikeun layanan anu diwangun nganggo Go 1.24 atanapi anu langkung énggal, anjeun tiasa mareuman MPTCP nganggo variabel lingkungan. Salaku conto, pikeun layanan anu disebut myservice:

systemctl edit myservice

Tambahkeun ieu kana file anu dibuka:

[Service]
Environment=GODEBUG=multipathtcp=0

Teras hurungkeun deui layananna:

systemctl restart myservice

Apdet X-ray

Upami server anjeun ngajalankeun Xray, apdet ka v26.10.31 atanapi anu langkung énggal. Versi sateuacanna, v26.10.29, parantos dicabut ku pamekarna. Apdet ieu mareuman MPTCP tapi henteu ngalereskeun kernel, janten apdet kernel masih diperyogikeun.

Pariksa hiji setélan deui

Jalur éksploitasi kadua anu langkung heureut meryogikeun migrasi pamundut diaktipkeun. Sacara standar éta pareum — pastikeun:

sysctl net.ipv4.tcp_migrate_req

Paréntahna kedah nyitak 0.

Watesan aksés kana layanan anjeun

Tutup unggal port firewall anu teu kedah tiasa dihontal tina internét. Upami tiasa, buka layanan administrasi — SSH, panel kontrol, database — ngan ukur ka alamat IP anu dipercaya.

Léngkah 4. Saatos masang kernel anu parantos dibenerkeun

1. Balikan deui server sareng anggo paréntah ti Léngkah 1 pikeun mastikeun yén kernel anu parantos dibenerkeun parantos jalan.
2. Anjeun tiasa ngahapus aturan samentawis:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Upami anjeun peryogi MPTCP, mulangkeun setélan: hapus /etc/sysctl.d/99-disable-mptcp.conf sareng lumpat sysctl -w net.mptcp.enabled=1.

Upami aya anu lepat

Upami server anjeun henteu tiasa boot saatos apdet kernel, sambungkeun via konsol VNC dina panel kontrol teras pilih kernel sateuacanna dina menu boot. Upami anjeun henteu yakin anjeun tiasa ngalakukeun ieu nyalira, atanapi peryogi bantosan sareng apdet, hubungi tim dukungan kami.