క్లిష్టమైన లైనక్స్ కెర్నల్ లోపం CVE-2026-98432: మీ VPSని తనిఖీ చేసి, అప్‌డేట్ చేయడం ఎలా

అక్టోబర్ 2026లో, లైనక్స్ కెర్నల్‌లో CVE-2026-98432 అనే ఒక తీవ్రమైన లోపం కనుగొనబడింది, దీనికి CVSS స్కేల్‌పై 10కి 9.8 రేటింగ్ ఇవ్వబడింది. ఇది ఇన్‌కమింగ్ IPv4 TCP కనెక్షన్‌లను నిర్వహించే విధానాన్ని ప్రభావితం చేస్తుంది మరియు కొన్ని పరిస్థితులలో, అడ్మినిస్ట్రేటర్ నుండి ఎటువంటి చర్య అవసరం లేకుండా, పాస్‌వర్డ్ లేకుండానే, దాడి చేసే వ్యక్తి రిమోట్‌గా ఒక సర్వర్‌కు రూట్ యాక్సెస్ పొందేందుకు ఇది అనుమతిస్తుంది.

కింద ఎవరెవరు ప్రభావితమవుతారో, మీ సర్వర్‌ను ఎలా తనిఖీ చేయాలో మరియు దానిని ఎలా రక్షించుకోవాలో వివరించబడింది. అన్ని ఆదేశాలు రూట్‌గా లేదా దీనితో అమలు చేయబడతాయి. sudo.

క్లుప్తంగా బలహీనత

• అదేంటి: IPv4 TCP కనెక్షన్‌లను ఏర్పాటు చేసే కోడ్‌లో, రేస్ కండిషన్ కారణంగా ఏర్పడిన యూజ్-ఆఫ్టర్-ఫ్రీ బగ్ ఉంది. దాడి చేసేవాడు ప్రత్యేకంగా రూపొందించిన ప్యాకెట్‌లను తెరిచి ఉన్న ఏ TCP పోర్ట్‌కైనా పంపుతాడు.
• ప్రభావిత కెర్నల్‌లు: Linux 4.4 నుండి ప్రతి వెర్షన్, అంటే ఆచరణాత్మకంగా ప్రతి ప్రస్తుత డిస్ట్రిబ్యూషన్.
• IPv6 ప్రధాన బగ్ వల్ల ప్రభావితం కాదు.
• ముప్పు ఎంత వాస్తవమైనది: ఆంత్రోపిక్ పరిశోధకులు మల్టీపాత్ TCP (MPTCP) ఎనేబుల్ చేయబడిన సర్వర్‌లో సుమారు 53 నిమిషాల్లో రూట్ యాక్సెస్‌ను పొందే ఒక పనిచేసే ఎక్స్‌ప్లాయిట్ చైన్‌ను ప్రదర్శించారు. ఈ ఎక్స్‌ప్లాయిట్ కోడ్ ప్రచురించబడలేదు.
• అడవిలో దాడులు: నవంబర్ 1, 2026 నాటికి, ఎలాంటి దోపిడీ జరిగినట్లు నివేదించబడలేదు. ఇది ప్రశాంతంగా అప్‌డేట్ చేయడానికి ఒక కారణం, అంతేగానీ దానిని వాయిదా వేయడానికి కాదు.

Go సర్వీసులతో ఒక ప్రత్యేకమైన ప్రమాదం ఉంది. Go 1.24 నుండి, కెర్నల్ అనుమతించినప్పుడల్లా లైనక్స్‌లోని సర్వర్ ప్రోగ్రామ్‌లు డిఫాల్ట్‌గా MPTCP ద్వారా పోర్ట్‌లను వింటాయి. తమ సర్వర్ అటువంటి కనెక్షన్‌లను అంగీకరిస్తుందని ఒక నిర్వాహకుడికి తెలియకపోవచ్చు. ప్రసిద్ధ ప్రోగ్రామ్‌లలో, Xray ఈ విధంగా పనిచేస్తుంది — దాని డెవలపర్లు ఇప్పటికే v26.10.31 అనే అత్యవసర వెర్షన్‌ను విడుదల చేశారు, ఇది డిఫాల్ట్‌గా MPTCPని నిలిపివేస్తుంది.

ప్రతి VPS దాని స్వంత కెర్నల్‌ను నడుపుతుంది, కాబట్టి మీరు మీ సర్వర్‌లోని కెర్నల్‌ను మీరే అప్‌డేట్ చేసుకోవాలి. మేము వర్చువలైజేషన్ నోడ్‌లను స్వయంగా అప్‌డేట్ చేస్తాము.

మీ సిస్టమ్‌కు పరిష్కారం ఉందా?

నవంబర్ 1, 2026 నాటి స్థితి. పరిష్కారాలు దాదాపు ప్రతిరోజూ వస్తున్నాయి — ప్రస్తుత స్థితి కోసం ఈ వ్యాసం చివర ఉన్న లింక్‌లను తనిఖీ చేయండి.

దశ 1. మీరు ఏ కెర్నల్‌ను నడుపుతున్నారో తనిఖీ చేయండి

నడుస్తున్న కెర్నల్ యొక్క వెర్షన్‌ను కనుగొనండి:

uname -r

కేవలం వెర్షన్ నంబర్ మాత్రమే మీకు ఏమీ చెప్పదు: డిస్ట్రిబ్యూషన్‌లు బేస్ వెర్షన్‌ను మార్చకుండానే తమ సొంత కెర్నల్‌లలోకి ఫిక్స్‌లను బ్యాక్‌పోర్ట్ చేస్తాయి. కెర్నల్ ప్యాకేజీ చేంజ్‌లాగ్‌ను తనిఖీ చేయడం మరింత నమ్మదగినది — అందులో CVE నంబర్ పేర్కొనబడి ఉంటే, ఆ ఫిక్స్ అప్పటికే ఇన్‌స్టాల్ చేయబడిందని అర్థం.

డెబియన్ మరియు ఉబుంటు:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

డెబియన్‌లో, uname -v ఈ కమాండ్, నడుస్తున్న కెర్నల్ యొక్క పూర్తి ప్యాకేజీ వెర్షన్‌ను కూడా చూపిస్తుంది: దానిని పై పట్టికతో పోల్చి చూడండి.

ఆల్మాలినక్స్, రాకీ లినక్స్, ఆర్‌హెచ్‌ఈఎల్, ఒరాకిల్ లినక్స్:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

కమాండ్ ఏమీ ప్రింట్ చేయకపోతే, నడుస్తున్న కెర్నల్ బలహీనంగా ఉన్నట్లు అర్థం.

తరువాత, MPTCP ద్వారా కనెక్షన్‌లను అంగీకరించే సేవలను తనిఖీ చేయండి. ప్రదర్శించబడిన దాడిలో ఇలాంటి సర్వర్‌లే లక్ష్యంగా ఉన్నాయి:

ss -lnMp

ఖాళీ అవుట్‌పుట్ అంటే MPTCP లిజనర్‌లు లేవని అర్థం.

దశ 2. పరిష్కరించిన కెర్నల్‌ను ఇన్‌స్టాల్ చేయండి

కెర్నల్‌ను అప్‌డేట్ చేసే ముందు మీ సర్వర్ యొక్క బ్యాకప్ లేదా స్నాప్‌షాట్‌ను తీసుకోండి.

డెబియన్ 12 మరియు 13

సరిచేసిన కెర్నల్స్ సెక్యూరిటీ రిపోజిటరీలో ఉన్నాయి. అది ఎనేబుల్ చేయబడిందని నిర్ధారించుకోండి:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

ఏమీ కనుగొనబడకపోతే, జోడించండి security.debian.org మీ విడుదల కోసం రిపోజిటరీ. ఆ తర్వాత సిస్టమ్‌ను అప్‌డేట్ చేయండి:

apt update
apt full-upgrade
reboot

ఉబుంటు

సరిచేసిన కెర్నల్‌లు ఇంకా విడుదల కాలేదు. అప్‌డేట్‌ల కోసం తనిఖీ చేయండి:

apt update
apt list --upgradable | grep linux-image

మీ సర్వర్ ఉబుంటు ప్రోకి అనుసంధానించబడి ఉంటే, మీరు పరిష్కార ప్రణాళికను తనిఖీ చేయవచ్చు:

pro fix CVE-2026-98432 --dry-run

పరిష్కారం విడుదలయ్యాక, దాన్ని ఇన్‌స్టాల్ చేసి రీబూట్ చేయండి:

apt update
apt full-upgrade
reboot

అప్పటి వరకు, 3వ దశలోని తాత్కాలిక రక్షణను తప్పకుండా వర్తింపజేయండి.

ఆల్మాలినక్స్ 8, 9, 10

సరిచేసిన కెర్నల్‌లు ప్రస్తుతం టెస్టింగ్ రిపోజిటరీలో మాత్రమే అందుబాటులో ఉన్నాయి. ప్రొడక్షన్ సర్వర్‌లో ఇన్‌స్టాల్ చేయడానికి మీకు సౌకర్యంగా ఉంటే, వాటిని ఇన్‌స్టాల్ చేయండి మరియు అప్‌డేట్ చేసే ముందు తప్పకుండా స్నాప్‌షాట్ తీసుకోండి:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

రీబూట్ చేసిన తర్వాత, పోల్చండి uname -r పైన పట్టికలో ఉన్న వెర్షన్‌లతో. మీరు టెస్టింగ్ ప్యాకేజీలను ఇన్‌స్టాల్ చేయకూడదనుకుంటే, తాత్కాలిక రక్షణను వర్తింపజేసి, పరిష్కారం ప్రధాన రిపోజిటరీకి చేరే వరకు వేచి ఉండండి.

రాకీ లినక్స్ మరియు ఇతర RHEL-ఆధారిత వ్యవస్థలు

ఇంకా పరిష్కారం దొరకలేదు. మీరు దీనితో గమనించవచ్చు:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

పరిష్కారం విడుదలైన తర్వాత:

dnf update kernel
reboot

అప్‌డేట్ చేసిన తర్వాత రీబూట్ చేయడం అవసరం

కొత్త కెర్నల్ రీబూట్ చేసిన తర్వాత మాత్రమే అమలులోకి వస్తుంది. రీబూట్ అవసరమా కాదా అని తనిఖీ చేయడానికి:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

రీబూట్ చేసిన తర్వాత, 1వ దశ నుండి తనిఖీని పునరావృతం చేయండి.

దశ 3. స్థిరమైన కెర్నల్ అందుబాటులోకి వచ్చే వరకు తాత్కాలిక రక్షణ

ఈ చర్యలు ప్రమాదాన్ని తగ్గిస్తాయి కానీ కెర్నల్ అప్‌డేట్‌కు ప్రత్యామ్నాయం కావు.

ట్రిగ్గర్ ప్యాకెట్లను నిరోధించండి

ఈ దాడి IPv4 హెడర్‌లో IP ఆప్షన్‌లతో కూడిన TCP ప్యాకెట్‌లను ఉపయోగిస్తుంది. అవి సాధారణ ట్రాఫిక్‌లో దాదాపుగా ఎప్పుడూ కనిపించవు, మరియు వాటిని డ్రాప్ చేయమని RFC 7126 ఇప్పటికే సిఫార్సు చేస్తోంది. కింద ఉన్న nftables రూల్, ఆప్షన్‌లతో వచ్చే అన్ని IPv4 TCP ప్యాకెట్‌లను డ్రాప్ చేస్తుంది మరియు IPv6, UDP లేదా ICMPపై ప్రభావం చూపదు. ఇది ufw మరియు firewalld లతో కలిసి పనిచేస్తుంది.

ఇప్పటికే ఇన్‌స్టాల్ చేయకపోతే nftables ను ఇన్‌స్టాల్ చేయండి:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

నియమ ఫైల్‌ను సృష్టించండి:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

ప్రతి రీబూట్ తర్వాత నియమాన్ని పునరుద్ధరించడానికి, ఒక systemd సర్వీస్‌ను సృష్టించండి:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

నియమం లోడ్ చేయబడిందో లేదో తనిఖీ చేయండి:

nft list table ip cve_2026_98432

మీరు గ్లోబల్‌తో nftables సేవను పునఃప్రారంభించినట్లయితే flush ruleset నియమం, అమలు systemctl restart cve-2026-98432 తరువాత.

ముఖ్య గమనిక: CIPSO లేబుల్‌లను (SELinux లేదా Smack NetLabel) ఉపయోగించే నెట్‌వర్క్‌లపై ఈ నియమాన్ని వర్తింపజేయవద్దు — అక్కడ IP ఆప్షన్‌లు సాధారణంగా ఉపయోగించబడతాయి. మీ సర్వర్ ఇతర మెషీన్‌ల కోసం ట్రాఫిక్‌ను రూట్ చేస్తే, ఈ నియమం IP ఆప్షన్‌లతో ఉన్న వాటి TCP ప్యాకెట్‌లను కూడా డ్రాప్ చేస్తుంది.

మీకు MPTCP అవసరం లేకపోతే దాన్ని నిలిపివేయండి

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

ఈ సెట్టింగ్ కేవలం నిరోధిస్తుంది కొత్త MPTCP సాకెట్లు సృష్టించబడకుండా నిరోధించండి. ఇప్పటికే నడుస్తున్న సేవలు MPTCP ద్వారా వింటూనే ఉంటాయి, కాబట్టి జాబితాలో ఉన్న ప్రతి సేవను పునఃప్రారంభించండి. ss -lnMp మరియు దాని అవుట్‌పుట్ ఇప్పుడు ఖాళీగా ఉందని నిర్ధారించుకోండి.

ఆల్మాలినక్స్‌లో, మీరు స్వయంగా ఎనేబుల్ చేస్తే తప్ప MPTCP డిఫాల్ట్‌గా డిసేబుల్ చేయబడి ఉంటుంది.

Go ప్రోగ్రామ్‌లలో MPTCPని నిలిపివేయండి

Go 1.24 లేదా ఆ తర్వాత వెర్షన్‌తో నిర్మించిన సర్వీస్‌ల కోసం, మీరు ఒక ఎన్విరాన్‌మెంట్ వేరియబుల్‌తో MPTCPని డిసేబుల్ చేయవచ్చు. ఉదాహరణకు, అనే సర్వీస్ కోసం myservice:

systemctl edit myservice

తెరిచే ఫైల్‌కు కింది వాటిని జోడించండి:

[Service]
Environment=GODEBUG=multipathtcp=0

ఆ తర్వాత సర్వీస్‌ను పునఃప్రారంభించండి:

systemctl restart myservice

ఎక్స్-రే అప్‌డేట్

మీ సర్వర్ Xrayని నడుపుతుంటే, దానిని v26.10.31 లేదా ఆ తర్వాతి వెర్షన్‌కు అప్‌డేట్ చేయండి. మునుపటి వెర్షన్, v26.10.29, దాని డెవలపర్‌లచే ఉపసంహరించబడింది. ఈ అప్‌డేట్ MPTCPని నిలిపివేస్తుంది కానీ కెర్నల్‌ను సరిచేయదు, కాబట్టి కెర్నల్ అప్‌డేట్ ఇప్పటికీ అవసరం.

మరొక సెట్టింగ్‌ను తనిఖీ చేయండి

రెండవ, మరింత సంకుచితమైన దోపిడీ మార్గానికి రిక్వెస్ట్ మైగ్రేషన్‌ను ఎనేబుల్ చేయడం అవసరం. ఇది డిఫాల్ట్‌గా ఆఫ్ చేయబడి ఉంటుంది — దాన్ని నిర్ధారించుకోండి:

sysctl net.ipv4.tcp_migrate_req

ఆదేశం ముద్రించాలి 0.

మీ సేవలకు యాక్సెస్‌ను పరిమితం చేయండి

ఇంటర్నెట్ నుండి అందుబాటులో ఉండాల్సిన అవసరం లేని ప్రతి ఫైర్‌వాల్ పోర్ట్‌ను మూసివేయండి. సాధ్యమైన చోట, SSH, కంట్రోల్ ప్యానెల్‌లు, డేటాబేస్‌ల వంటి నిర్వాహక సేవలను విశ్వసనీయమైన IP చిరునామాలకు మాత్రమే తెరవండి.

దశ 4. పరిష్కరించిన కెర్నల్‌ను ఇన్‌స్టాల్ చేసిన తర్వాత

1. సర్వర్‌ను రీబూట్ చేసి, సరిచేసిన కెర్నల్ నడుస్తోందని నిర్ధారించుకోవడానికి స్టెప్ 1లోని కమాండ్‌లను ఉపయోగించండి.
2. మీరు తాత్కాలిక నియమాన్ని తీసివేయవచ్చు:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. మీకు MPTCP అవసరమైతే, సెట్టింగ్‌ను పునరుద్ధరించండి: తొలగించండి /etc/sysctl.d/99-disable-mptcp.conf మరియు అమలు sysctl -w net.mptcp.enabled=1.

ఏదైనా తప్పు జరిగితే

కెర్నల్ అప్‌డేట్ తర్వాత మీ సర్వర్ బూట్ కాకపోతే, కంట్రోల్ ప్యానెల్‌లోని VNC కన్సోల్ ద్వారా కనెక్ట్ అయి, బూట్ మెనూలో మునుపటి కెర్నల్‌ను ఎంచుకోండి. మీరు దీన్ని స్వయంగా చేయగలరో లేదో మీకు ఖచ్చితంగా తెలియకపోతే, లేదా అప్‌డేట్‌తో సహాయం అవసరమైతే, మా సహాయక బృందాన్ని సంప్రదించండి.