Udhaifu Muhimu wa Linux Kernel CVE-2026-98432: Jinsi ya Kuangalia na Kusasisha VPS Yako

Mnamo Oktoba 2026, udhaifu mkubwa, CVE-2026-98432 , ulipatikana kwenye kiini cha Linux, kilichopewa alama 9.8 kati ya 10 kwenye kipimo cha CVSS. Inaathiri jinsi miunganisho ya TCP ya IPv4 inayoingia inavyoshughulikiwa na, chini ya hali fulani, inaruhusu mshambuliaji kupata ufikiaji wa mizizi kwa seva kwa mbali - bila nenosiri na hakuna hatua inayohitajika kutoka kwa msimamizi.

Hapa chini ni nani aliyeathiriwa, jinsi ya kuangalia seva yako na jinsi ya kuilinda. Amri zote zinaendeshwa kama mzizi au na sudo.

Udhaifu kwa kifupi

• Nini ni: hitilafu isiyotumika baada ya matumizi katika msimbo inayoweka miunganisho ya TCP ya IPv4, inayosababishwa na hali ya mbio. Mshambuliaji hutuma pakiti zilizotengenezwa maalum kwenye lango lolote la TCP lililo wazi.
• Kokwa zilizoathiriwa: kila toleo tangu Linux 4.4, ambayo ina maana karibu kila usambazaji wa sasa.
• IPv6 haiathiriwi na mdudu mkuu.
• Jinsi tishio lilivyo halisi: Watafiti wa anthropolojia walionyesha mnyororo wa unyonyaji unaofanya kazi ambao ulipata ufikiaji wa mizizi kwenye seva ukiwa umewezeshwa na Multipath TCP (MPTCP) kwa takriban dakika 53. Msimbo wa unyonyaji haujachapishwa.
• Mashambulizi porini: Kufikia Novemba 1, 2026, hakuna unyonyaji wowote ulioripotiwa. Hiyo ni sababu ya kusasisha kwa utulivu, si sababu ya kuahirisha.

Huduma za Go zina hatari tofauti. Tangu Go 1.24, programu za seva kwenye Linux husikiliza milango kupitia MPTCP kwa chaguo-msingi wakati wowote kernel inaporuhusu. Msimamizi anaweza hata asijue seva yake inakubali miunganisho kama hiyo. Miongoni mwa programu maarufu, Xray hufanya kazi hivi — watengenezaji wake tayari wametoa toleo la dharura, v26.10.31, ambalo huzima MPTCP kwa chaguo-msingi.

Kila VPS inaendesha kerneli yake, kwa hivyo unahitaji kusasisha kerneli ndani ya seva yako mwenyewe. Tunasasisha nodi za uboreshaji sisi wenyewe.

Je, kuna suluhisho kwa mfumo wako?

Hali kufikia Novemba 1, 2026. Marekebisho yanafanyika karibu kila siku — angalia viungo mwishoni mwa makala haya kwa hali ya sasa.

Hatua ya 1. Angalia ni kernel gani unayoendesha

Tafuta toleo la kernel inayoendesha:

uname -r

Nambari ya toleo pekee haikuambii chochote: usambazaji hurekebisha sehemu ya nyuma ya faili kwenye viini vyake bila kubadilisha toleo la msingi. Inaaminika zaidi kuangalia logi ya mabadiliko ya kifurushi cha kernel — ikiwa itataja nambari ya CVE, marekebisho tayari yamesakinishwa.

Debian na Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Kwenye Debian, uname -v amri pia inaonyesha toleo kamili la kifurushi cha kernel inayoendesha: lilinganishe na jedwali hapo juu.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Ikiwa amri haichapishi chochote, kiini kinachoendesha kinaweza kuathiriwa.

Kisha, angalia ni huduma zipi zinazokubali miunganisho kupitia MPTCP. Seva kama hizi ndizo zilizolengwa katika shambulio lililoonyeshwa:

ss -lnMp

Matokeo tupu yanamaanisha kuwa hakuna wasikilizaji wa MPTCP.

Hatua ya 2. Sakinisha kiini kilichowekwa

Piga nakala rudufu au picha ya seva yako kabla ya kusasisha kiini.

Debian 12 na 13

Kernels zisizobadilika ziko kwenye hazina ya usalama. Hakikisha imewezeshwa:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Ikiwa hakuna kilichopatikana, ongeza security.debian.org hifadhi ya toleo lako. Kisha sasisha mfumo:

apt update
apt full-upgrade
reboot

Ubuntu

Kernel zisizobadilika hazijatolewa bado. Angalia masasisho:

apt update
apt list --upgradable | grep linux-image

Ikiwa seva yako imeunganishwa na Ubuntu Pro, unaweza kuangalia mpango wa kurekebisha:

pro fix CVE-2026-98432 --dry-run

Mara tu marekebisho yatakapotolewa, isakinishe na uwashe upya:

apt update
apt full-upgrade
reboot

Hadi wakati huo, hakikisha unatumia ulinzi wa muda kutoka Hatua ya 3.

AlmaLinux 8, 9, 10

Kernels zisizobadilika zinapatikana tu kwenye hazina ya majaribio. Zisakinishe ikiwa unajisikia vizuri kufanya hivyo kwenye seva ya uzalishaji, na hakikisha umepiga picha kabla ya kusasisha:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Baada ya kuwasha upya, linganisha uname -r pamoja na matoleo katika jedwali hapo juu. Ikiwa hupendi kusakinisha vifurushi vya majaribio, tumia ulinzi wa muda na usubiri marekebisho yafike kwenye hazina kuu.

Rocky Linux na mifumo mingine inayotegemea RHEL

Hakuna suluhisho bado. Unaweza kuliangalia kwa:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Mara tu marekebisho yatakapotolewa:

dnf update kernel
reboot

Baada ya kusasisha: kuwasha upya inahitajika

Kiini kipya huanza kufanya kazi baada ya kuwasha upya. Ili kuangalia kama kinahitajika:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Baada ya kuwasha upya, rudia ukaguzi kutoka Hatua ya 1.

Hatua ya 3. Ulinzi wa muda hadi kiini kisichobadilika kipatikane

Hatua hizi hupunguza hatari lakini hazibadilishi sasisho la kernel.

Zuia pakiti za vichochezi

Shambulio hili linatumia pakiti za TCP zenye chaguo za IP kwenye kichwa cha IPv4. Hazionekani kamwe kwenye trafiki ya kawaida, na RFC 7126 tayari inapendekeza kuziacha. Sheria ya nftables iliyo hapa chini huacha pakiti zote zinazoingia za IPv4 TCP zenye chaguo na haiathiri IPv6, UDP au ICMP. Inafanya kazi pamoja na ufw na firewalld.

Sakinisha nftables ikiwa haijasakinishwa tayari:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Unda faili ya sheria:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Ili sheria irejeshwe baada ya kila kuwasha upya, tengeneza huduma ya mfumo:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Hakikisha kwamba sheria imepakiwa:

nft list table ip cve_2026_98432

Ukianzisha upya huduma ya nftables kwa kutumia global flush ruleset tawala, endesha systemctl restart cve-2026-98432 baadaye.

Muhimu: usitumie sheria hii kwenye mitandao inayotumia lebo za CIPSO (SELinux au Smack NetLabel) — chaguo za IP hutumika kawaida hapo. Ikiwa seva yako itaelekeza trafiki kwa mashine zingine, sheria hiyo pia itaacha pakiti zao za TCP zenye chaguo za IP.

Zima MPTCP ikiwa huihitaji

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Mpangilio huu huzuia tu mpya Soketi za MPTCP hazijaundwa. Huduma ambazo tayari zinafanya kazi zitaendelea kusikiliza kupitia MPTCP, kwa hivyo anza upya kila huduma iliyoorodheshwa na ss -lnMp na hakikisha matokeo yake sasa ni tupu.

Kwenye AlmaLinux, MPTCP imezimwa kwa chaguo-msingi isipokuwa kama umeiwasha mwenyewe.

Zima MPTCP katika programu za Go

Kwa huduma zilizojengwa na Go 1.24 au mpya zaidi, unaweza kuzima MPTCP kwa kutumia kigezo cha mazingira. Kwa mfano, kwa huduma inayoitwa myservice:

systemctl edit myservice

Ongeza yafuatayo kwenye faili inayofungua:

[Service]
Environment=GODEBUG=multipathtcp=0

Kisha anza tena huduma:

systemctl restart myservice

Sasisha Xray

Ikiwa seva yako inatumia Xray, isasishe hadi v26.10.31 au baadaye. Toleo la awali, v26.10.29, limeondolewa na watengenezaji wake. Sasisho hili huzima MPTCP lakini halirekebishi kiini, kwa hivyo sasisho la kiini bado linahitajika.

Angalia mpangilio mmoja zaidi

Njia ya pili nyembamba na ya unyonyaji inahitaji uhamishaji wa ombi ili kuwezeshwa. Imezimwa kwa chaguo-msingi — hakikisha:

sysctl net.ipv4.tcp_migrate_req

Amri inapaswa kuchapishwa 0.

Zuia ufikiaji wa huduma zako

Funga kila mlango wa ngome ambao hauhitaji kufikiwa kutoka kwenye mtandao. Inapowezekana, fungua huduma za utawala — SSH, paneli za udhibiti, hifadhidata — kwa anwani za IP zinazoaminika pekee.

Hatua ya 4. Baada ya kusakinisha kiini kilichowekwa

1. Washa upya seva na utumie amri kutoka Hatua ya 1 ili kuthibitisha kwamba kiini kilichowekwa kinafanya kazi.
2. Unaweza kuondoa sheria ya muda:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Ikiwa unahitaji MPTCP, rejesha mpangilio: futa /etc/sysctl.d/99-disable-mptcp.conf na kukimbia sysctl -w net.mptcp.enabled=1.

Ikiwa kitu kitaenda vibaya

Ikiwa seva yako haitawashwa baada ya sasisho la kernel, unganisha kupitia kiweko cha VNC kwenye paneli ya udhibiti na uchague kernel iliyotangulia kwenye menyu ya kuwasha. Ikiwa huna uhakika kama unaweza kufanya hivi mwenyewe, au unahitaji usaidizi na sasisho, wasiliana na timu yetu ya usaidizi.