அக்டோபர் 2026-ல், லினக்ஸ் கெர்னலில் CVE-2026-98432 என்ற ஒரு முக்கியப் பாதிப்பு கண்டறியப்பட்டது. இது CVSS அளவுகோலில் 10-க்கு 9.8 என மதிப்பிடப்பட்டுள்ளது. இது உள்வரும் IPv4 TCP இணைப்புகள் கையாளப்படும் விதத்தைப் பாதிக்கிறது. மேலும், சில நிபந்தனைகளின் கீழ், எந்தவொரு கடவுச்சொல்லுமின்றியும், நிர்வாகியிடமிருந்து எந்த நடவடிக்கையும் தேவையின்றியும், தாக்குபவர் ஒருவர் தொலைவிலிருந்து ஒரு சர்வரின் ரூட் அணுகலைப் பெற இது அனுமதிக்கிறது.
யார் யாரெல்லாம் பாதிக்கப்பட்டுள்ளனர், உங்கள் சேவையகத்தை எவ்வாறு சரிபார்ப்பது மற்றும் அதை எவ்வாறு பாதுகாப்பது என்பது கீழே கொடுக்கப்பட்டுள்ளது. அனைத்து கட்டளைகளும் ரூட் ஆகவோ அல்லது பிற கட்டளைகளுடனோ இயக்கப்படுகின்றன. sudo.
சுருக்கமாக பாதிப்பு
- அது என்ன IPv4 TCP இணைப்புகளை அமைக்கும் நிரலில், ஒரு ரேஸ் கண்டிஷன் காரணமாக ஏற்படும் 'யூஸ்-ஆஃப்டர்-ஃப்ரீ' பிழை. தாக்குபவர், திறந்திருக்கும் எந்தவொரு TCP போர்ட்டுக்கும் பிரத்யேகமாக வடிவமைக்கப்பட்ட பாக்கெட்டுகளை அனுப்புகிறார்.
- பாதிக்கப்பட்ட கர்னல்கள்: லினக்ஸ் 4.4 முதல் ஒவ்வொரு பதிப்பும், அதாவது நடைமுறையில் தற்போதைய ஒவ்வொரு விநியோகமும்.
- IPv6 முக்கியப் பிழையால் பாதிக்கப்படவில்லை.
- அச்சுறுத்தல் எவ்வளவு உண்மையானது: ஆந்த்ரோபிக் ஆராய்ச்சியாளர்கள், மல்டிபாத் TCP (MPTCP) இயக்கப்பட்ட ஒரு சர்வரில் சுமார் 53 நிமிடங்களில் ரூட் அணுகலைப் பெறும் ஒரு செயல்படும் சுரண்டல் சங்கிலியை நிரூபித்துள்ளனர். அந்த சுரண்டல் குறியீடு வெளியிடப்படவில்லை.
- இயற்கை தாக்குதல்கள்: நவம்பர் 1, 2026 நிலவரப்படி, எந்தவிதமான சுரண்டலும் பதிவாகவில்லை. அது நிதானமாகப் புதுப்பிப்பதற்கான காரணமே தவிர, அதைத் தள்ளிப்போடுவதற்கான காரணம் அல்ல.
கோ சேவைகள் ஒரு தனிப்பட்ட அபாயத்தைக் கொண்டுள்ளன. கோ 1.24 பதிப்பிலிருந்து, லினக்ஸில் உள்ள சர்வர் நிரல்கள், கர்னல் அனுமதிக்கும் போதெல்லாம் இயல்பாகவே MPTCP வழியாக போர்ட்களில் கேட்கின்றன. ஒரு நிர்வாகிக்குத் தனது சர்வர் அத்தகைய இணைப்புகளை ஏற்றுக்கொள்கிறது என்பது கூடத் தெரியாமல் இருக்கலாம். பிரபலமான நிரல்களில், எக்ஸ்ரே (Xray) இந்த வழியில்தான் செயல்படுகிறது — அதன் உருவாக்குநர்கள் ஏற்கனவே v26.10.31 என்ற அவசரகாலப் பதிப்பை வெளியிட்டுள்ளனர், இது இயல்பாகவே MPTCP-ஐ முடக்குகிறது.
ஒவ்வொரு VPS-ம் அதன் சொந்த கெர்னலைக் கொண்டுள்ளது, எனவே உங்கள் சர்வரில் உள்ள கெர்னலை நீங்களே புதுப்பிக்க வேண்டும். நாங்கள் விர்ச்சுவலைசேஷன் நோட்களை நாங்களே புதுப்பிக்கிறோம்.
உங்கள் கணினிக்கு ஏதேனும் தீர்வு உள்ளதா?
நவம்பர் 1, 2026 நிலவரப்படியான நிலவரம். பிழைத்திருத்தங்கள் ஏறக்குறைய தினந்தோறும் வெளியிடப்படுகின்றன — தற்போதைய நிலவரத்தை அறிய, இந்தக் கட்டுரையின் இறுதியில் உள்ள இணைப்புகளைப் பார்க்கவும்.
| அமைப்பு | நிலைமை | சரிசெய்யப்பட்ட கர்னல் |
|---|---|---|
| டெபியன் 13 | நிலையானது | linux 6.12.113-1 |
| டெபியன் 12 | நிலையானது | linux 6.1.190-1 |
| உபுண்டு 22.04, 24.04, 26.04 | சரிசெய்யும் பணி நடைபெற்று வருகிறது. | இன்னும் இல்லை — தற்காலிகப் பாதுகாப்பைப் பயன்படுத்தவும் |
| அல்மாலினக்ஸ் 8, 9, 10 | சோதனைக் களஞ்சியத்தில் திருத்தம் | 8: 4.18.0-553.180.2.el8_10 9: 5.14.0-687.61.2.el9_8 10: 6.12.0-211.69.2.el10_2 |
| ராக்கி லினக்ஸ், RHEL 8, 9, 10 | இன்னும் சரிசெய்யப்படவில்லை | தற்காலிக பாதுகாப்பைப் பயன்படுத்தவும் |
| ஆரக்கிள் லினக்ஸ் 7–10 (UEK) | நிலையானது | ஒரு நிலையான புதுப்பிப்பு மூலம் |
| SUSE / openSUSE Leap 16 | நிலையானது | ஒரு நிலையான புதுப்பிப்பு மூலம் |
படி 1. நீங்கள் எந்த கெர்னலைப் பயன்படுத்துகிறீர்கள் என்பதைச் சரிபார்க்கவும்.
இயங்கும் கெர்னலின் பதிப்பைக் கண்டறியவும்:
uname -rபதிப்பு எண் மட்டும் உங்களுக்கு எதையும் சொல்லாது: விநியோகங்கள் அடிப்படைப் பதிப்பை மாற்றாமல், திருத்தங்களைத் தங்களின் சொந்த கெர்னல்களில் பின்னோக்கிச் சேர்க்கின்றன. கெர்னல் தொகுப்பு மாற்றப் பதிவேட்டைச் சரிபார்ப்பது மிகவும் நம்பகமானது — அதில் CVE எண் குறிப்பிடப்பட்டிருந்தால், திருத்தம் ஏற்கனவே நிறுவப்பட்டுள்ளது என்று பொருள்.
டெபியன் மற்றும் உபுண்டு:
apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432டெபியனில், uname -v இந்தக் கட்டளை, இயங்கும் கெர்னலின் முழுமையான தொகுப்புப் பதிப்பையும் காட்டுகிறது: அதை மேலே உள்ள அட்டவணையுடன் ஒப்பிட்டுப் பாருங்கள்.
அல்மாலினக்ஸ், ராக்கி லினக்ஸ், ஆர்ஹெச்இஎல், ஆரக்கிள் லினக்ஸ்:
rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432கட்டளை எதையும் அச்சிடவில்லை என்றால், இயங்கிக்கொண்டிருக்கும் கெர்னல் பாதிப்புக்குள்ளாகும் நிலையில் உள்ளது.
அடுத்து, MPTCP வழியாக இணைப்புகளை ஏற்கும் சேவைகள் எவை என்பதைச் சரிபார்க்கவும். நிரூபிக்கப்பட்ட தாக்குதலில் இதுபோன்ற சேவையகங்களே இலக்காக இருந்தன:
ss -lnMpவெற்று வெளியீடு என்பது MPTCP கேட்பவர்கள் இல்லை என்பதைக் குறிக்கிறது.
படி 2. சரிசெய்யப்பட்ட கெர்னலை நிறுவவும்
கெர்னலைப் புதுப்பிக்கும் முன், உங்கள் சேவையகத்தின் காப்புப் பிரதி அல்லது ஸ்னாப்ஷாட்டை எடுத்துக்கொள்ளுங்கள்.
டெபியன் 12 மற்றும் 13
சரிசெய்யப்பட்ட கெர்னல்கள் பாதுகாப்புக் களஞ்சியத்தில் உள்ளன. அது இயக்கப்பட்டிருப்பதை உறுதிப்படுத்திக் கொள்ளுங்கள்:
grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/எதுவும் காணப்படவில்லை எனில், சேர்க்கவும் security.debian.org உங்கள் வெளியீட்டிற்கான களஞ்சியம். பின்னர் அமைப்பைப் புதுப்பிக்கவும்:
apt update
apt full-upgrade
rebootஉபுண்டு
பிழைதிருத்தப்பட்ட கெர்னல்கள் இன்னும் வெளியிடப்படவில்லை. புதுப்பிப்புகளுக்குச் சரிபார்க்கவும்:
apt update
apt list --upgradable | grep linux-imageஉங்கள் சேவையகம் உபுண்டு ப்ரோவுடன் இணைக்கப்பட்டிருந்தால், சரிசெய்யும் திட்டத்தை நீங்கள் சரிபார்க்கலாம்:
pro fix CVE-2026-98432 --dry-runபிழைதிருத்தம் வெளியிடப்பட்டவுடன், அதை நிறுவி கணினியை மறுதொடக்கம் செய்யவும்:
apt update
apt full-upgrade
rebootஅதுவரை, படி 3-இல் உள்ள தற்காலிகப் பாதுகாப்பைத் தவறாமல் பயன்படுத்தவும்.
அல்மாலினக்ஸ் 8, 9, 10
சரிசெய்யப்பட்ட கெர்னல்கள் தற்போது சோதனைக் களஞ்சியத்தில் மட்டுமே கிடைக்கின்றன. ஒரு உற்பத்தி சேவையகத்தில் அவ்வாறு செய்வதில் உங்களுக்குச் சிரமம் இல்லையென்றால் அவற்றை நிறுவவும், மேலும் புதுப்பிப்பதற்கு முன் ஒரு ஸ்னாப்ஷாட்டை எடுத்துக்கொள்வதை உறுதிசெய்யவும்:
dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
rebootமறுதொடக்கம் செய்த பிறகு, ஒப்பிட்டுப் பார்க்கவும் uname -r மேலே உள்ள அட்டவணையில் உள்ள பதிப்புகளுடன். நீங்கள் சோதனைத் தொகுப்புகளை நிறுவ விரும்பவில்லை என்றால், தற்காலிகப் பாதுகாப்பைப் பிரயோகித்து, திருத்தம் பிரதான களஞ்சியத்தை வந்தடையும் வரை காத்திருக்கவும்.
ராக்கி லினக்ஸ் மற்றும் பிற RHEL அடிப்படையிலான அமைப்புகள்
இன்னும் தீர்வு காணப்படவில்லை. நீங்கள் இதைக் கொண்டு அதைக் கண்காணிக்கலாம்:
dnf --refresh updateinfo info --all --cves CVE-2026-98432பிழைதிருத்தம் வெளியிடப்பட்டவுடன்:
dnf update kernel
rebootபுதுப்பித்த பிறகு: கணினியை மறுதொடக்கம் செய்ய வேண்டும்.
புதிய கெர்னல் கணினியை மறுதொடக்கம் செய்த பின்னரே செயல்படும். அது தேவையா என்பதைச் சரிபார்க்க:
# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"
# AlmaLinux, Rocky, RHEL
needs-restarting -rமறுதொடக்கம் செய்த பிறகு, படி 1-இல் உள்ள சரிபார்ப்பை மீண்டும் செய்யவும்.
படி 3. சரிசெய்யப்பட்ட கெர்னல் கிடைக்கும் வரை தற்காலிகப் பாதுகாப்பு
இந்த நடவடிக்கைகள் அபாயத்தைக் குறைக்கின்றன, ஆனால் கெர்னல் புதுப்பித்தலுக்கு மாற்றாக அமையாது.
தூண்டுதல் பாக்கெட்டுகளைத் தடுக்கவும்
இந்தத் தாக்குதல், IPv4 ஹெடரில் IP விருப்பங்களைக் கொண்ட TCP பாக்கெட்டுகளைப் பயன்படுத்துகிறது. அவை நடைமுறையில் சாதாரண டிராஃபிக்கில் ஒருபோதும் தோன்றுவதில்லை, மேலும் RFC 7126 ஏற்கனவே அவற்றை நிராகரிக்கப் பரிந்துரைக்கிறது. கீழே உள்ள nftables விதியானது, விருப்பங்களுடன் வரும் அனைத்து IPv4 TCP பாக்கெட்டுகளையும் நிராகரிக்கிறது, மேலும் இது IPv6, UDP அல்லது ICMP-ஐப் பாதிக்காது. இது ufw மற்றும் firewalld உடன் இணைந்து செயல்படுகிறது.
nftables ஏற்கனவே நிறுவப்படவில்லை எனில், அதை நிறுவவும்:
# Debian and Ubuntu
apt install -y nftables
# AlmaLinux, Rocky, RHEL
dnf install -y nftablesவிதிக் கோப்பை உருவாக்கவும்:
cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
chain pre {
type filter hook prerouting priority -300; policy accept;
meta l4proto tcp ip hdrlength gt 5 counter drop
}
}
EOFஒவ்வொரு முறை கணினியை மறுதொடக்கம் செய்த பிறகும் விதி மீண்டும் நிலைநிறுத்தப்பட, ஒரு systemd சேவையை உருவாக்கவும்:
cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service
[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432
[Install]
WantedBy=multi-user.target
EOF
systemctl daemon-reload
systemctl enable --now cve-2026-98432.serviceவிதி ஏற்றப்பட்டுள்ளதா எனச் சரிபார்க்கவும்:
nft list table ip cve_2026_98432நீங்கள் nftables சேவையை ஒரு உலகளாவிய ரீதியில் மறுதொடக்கம் செய்தால் flush ruleset விதி, ஓடு systemctl restart cve-2026-98432 பின்னர்.
முக்கியம்: CIPSO லேபிள்களை (SELinux அல்லது Smack NetLabel) பயன்படுத்தும் நெட்வொர்க்குகளில் இந்த விதியைப் பயன்படுத்த வேண்டாம் — அங்கு IP விருப்பங்கள் சாதாரணமாகப் பயன்படுத்தப்படுகின்றன. உங்கள் சர்வர் மற்ற இயந்திரங்களுக்கான டிராஃபிக்கை வழிநடத்தினால், இந்த விதி அவற்றின் IP விருப்பங்களைக் கொண்ட TCP பாக்கெட்டுகளையும் நிராகரித்துவிடும்.
உங்களுக்குத் தேவைப்படாவிட்டால் MPTCP-ஐ முடக்கவும்.
sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.confஇந்த அமைப்பு தடுப்பது மட்டுமே புதிய MPTCP சாக்கெட்டுகள் உருவாக்கப்படுவதைத் தடுக்கவும். ஏற்கனவே இயங்கிக்கொண்டிருக்கும் சேவைகள் MPTCP வழியாகத் தொடர்ந்து கேட்கும், எனவே பட்டியலிடப்பட்டுள்ள ஒவ்வொரு சேவையையும் மறுதொடக்கம் செய்யவும். ss -lnMp மேலும் அதன் வெளியீடு இப்போது காலியாக இருப்பதை உறுதிப்படுத்திக் கொள்ளுங்கள்.
நீங்கள் சுயமாக இயக்காத வரையில், AlmaLinux-ல் MPTCP இயல்பாகவே முடக்கப்பட்டிருக்கும்.
Go நிரல்களில் MPTCP-ஐ முடக்கு
Go 1.24 அல்லது அதற்குப் பிந்தைய பதிப்புகளில் உருவாக்கப்பட்ட சேவைகளுக்கு, ஒரு சூழல் மாறியைப் பயன்படுத்தி MPTCP-ஐ முடக்கலாம். எடுத்துக்காட்டாக, ஒரு சேவைக்கு myservice:
systemctl edit myserviceதிறக்கும் கோப்பில் பின்வருவனவற்றைச் சேர்க்கவும்:
[Service]
Environment=GODEBUG=multipathtcp=0பின்னர் சேவையை மறுதொடக்கம் செய்யவும்:
systemctl restart myserviceஎக்ஸ்ரேயைப் புதுப்பிக்கவும்
உங்கள் சர்வரில் Xray இயங்கினால், அதை v26.10.31 அல்லது அதற்குப் பிந்தைய பதிப்பிற்குப் புதுப்பிக்கவும். முந்தைய பதிப்பான v26.10.29, அதன் உருவாக்குநர்களால் திரும்பப் பெறப்பட்டுவிட்டது. இந்தப் புதுப்பிப்பு MPTCP-ஐ முடக்குகிறது, ஆனால் கெர்னலைச் சரிசெய்யாது, எனவே கெர்னலைப் புதுப்பிப்பது இன்னும் அவசியமாகிறது.
இன்னொரு அமைப்பைச் சரிபார்க்கவும்
இரண்டாவது, குறுகலான பயன்பாட்டு வழிக்கு, கோரிக்கை இடமாற்றம் இயக்கப்பட்டிருக்க வேண்டும். அது இயல்பாகவே முடக்கப்பட்டிருக்கும் — அதை உறுதிப்படுத்திக் கொள்ளுங்கள்:
sysctl net.ipv4.tcp_migrate_reqகட்டளை அச்சிட வேண்டும் 0.
உங்கள் சேவைகளுக்கான அணுகலைக் கட்டுப்படுத்துங்கள்
இணையத்திலிருந்து அணுகப்படத் தேவையில்லாத ஒவ்வொரு ஃபயர்வால் போர்ட்டையும் மூடுங்கள். முடிந்தவரை, நிர்வாகச் சேவைகளான SSH, கண்ட்ரோல் பேனல்கள், தரவுத்தளங்கள் போன்றவற்றை நம்பகமான IP முகவரிகளுக்கு மட்டும் திறக்கவும்.
படி 4. சரிசெய்யப்பட்ட கெர்னலை நிறுவிய பிறகு
- சேவையகத்தை மறுதொடக்கம் செய்து, சரிசெய்யப்பட்ட கெர்னல் இயங்குகிறதா என்பதை உறுதிப்படுத்த படி 1-இல் உள்ள கட்டளைகளைப் பயன்படுத்தவும்.
- நீங்கள் தற்காலிக விதியை நீக்கலாம்:
systemctl disable --now cve-2026-98432.service
rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
systemctl daemon-reload - உங்களுக்கு MPTCP தேவைப்பட்டால், அமைப்பை மீட்டமைக்கவும்: நீக்கவும்
/etc/sysctl.d/99-disable-mptcp.confரன்sysctl -w net.mptcp.enabled=1.
ஏதாவது தவறு நடந்தால்
கர்னல் புதுப்பித்தலுக்குப் பிறகு உங்கள் சர்வர் துவக்கப்படவில்லையென்றால், கண்ட்ரோல் பேனலில் உள்ள VNC கன்சோல் வழியாக இணைத்து, பூட் மெனுவில் முந்தைய கர்னலைத் தேர்ந்தெடுக்கவும். இதை நீங்களே செய்ய முடியுமா என்று உங்களுக்கு உறுதியாகத் தெரியவில்லை என்றாலோ அல்லது புதுப்பித்தல் தொடர்பாக உதவி தேவைப்பட்டாலோ, எங்கள் ஆதரவுக் குழுவைத் தொடர்பு கொள்ளவும்.
