کریٹیکل لینکس کرنل کی کمزوری CVE-2026-98432: اپنے VPS کو کیسے چیک کریں اور اپ ڈیٹ کریں

اکتوبر 2026 میں، ایک اہم کمزوری، CVE-2026-98432 ، لینکس کرنل میں پایا گیا، جس کی درجہ بندی CVSS پیمانے پر 10 میں سے 9.8 ہے۔ یہ اس بات پر اثر انداز ہوتا ہے کہ آنے والے IPv4 TCP کنکشنز کو کیسے ہینڈل کیا جاتا ہے اور، کچھ شرائط کے تحت، حملہ آور کو سرور تک دور سے رسائی حاصل کرنے کی اجازت دیتا ہے — بغیر پاس ورڈ کے اور منتظم سے کسی کارروائی کی ضرورت نہیں ہے۔

ذیل میں بتایا گیا ہے کہ کون متاثر ہوا ہے، اپنے سرور کو کیسے چیک کریں اور اس کی حفاظت کیسے کریں۔ تمام کمانڈز روٹ کے طور پر یا اس کے ساتھ چلائی جاتی ہیں۔ sudo.

مختصراً کمزوری۔

• یہ کیا ہے: کوڈ میں استعمال کے بعد مفت بگ جو IPv4 TCP کنکشن سیٹ کرتا ہے، جس کی وجہ ریس کی حالت ہے۔ حملہ آور کسی بھی کھلے TCP پورٹ پر خصوصی طور پر تیار کردہ پیکٹ بھیجتا ہے۔
• متاثرہ دانا: لینکس 4.4 کے بعد سے ہر ورژن، جس کا مطلب ہے عملی طور پر ہر موجودہ تقسیم۔
• IPv6 اہم مسئلے سے متاثر نہیں ہوتا ہے۔
• خطرہ کتنا حقیقی ہے: انتھروپک محققین نے ایک ورکنگ ایکسپلائٹ چین کا مظاہرہ کیا جس نے تقریباً 53 منٹ میں ملٹی پاتھ TCP (MPTCP) کے ساتھ سرور پر جڑ تک رسائی حاصل کی۔ استحصال کوڈ شائع نہیں کیا گیا ہے۔
• جنگل میں حملے: 1 نومبر 2026 تک، کسی استحصال کی اطلاع نہیں ملی ہے۔ یہ پرسکون طریقے سے اپ ڈیٹ کرنے کی ایک وجہ ہے، اسے بند کرنے کی وجہ نہیں۔

گو سروسز ایک الگ خطرہ رکھتی ہیں۔ گو 1.24 کے بعد سے، جب بھی کرنل اجازت دیتا ہے، لینکس پر سرور پروگرام MPTCP کے ذریعے بندرگاہوں پر سنتے ہیں۔ ایک منتظم کو یہ بھی معلوم نہیں ہوگا کہ اس کا سرور اس طرح کے کنکشن کو قبول کرتا ہے۔ مشہور پروگراموں میں، Xray اس طرح کام کرتا ہے - اس کے ڈویلپرز پہلے ہی ایک ہنگامی ورژن v26.10.31 جاری کر چکے ہیں، جو MPTCP کو بطور ڈیفالٹ غیر فعال کر دیتا ہے۔

ہر VPS اپنا دانا چلاتا ہے، لہذا آپ کو اپنے سرور کے اندر دانا کو خود اپ ڈیٹ کرنے کی ضرورت ہے۔ ہم ورچوئلائزیشن نوڈس کو خود اپ ڈیٹ کرتے ہیں۔

کیا آپ کے سسٹم کے لیے کوئی فکس ہے؟

1 نومبر 2026 تک کی حیثیت۔ اصلاحات تقریباً روزانہ آ رہی ہیں — موجودہ صورتحال کے لیے اس مضمون کے آخر میں لنکس چیک کریں۔

مرحلہ 1۔ چیک کریں کہ آپ کون سا دانا چلا رہے ہیں۔

چلانے والے دانا کا ورژن معلوم کریں:

uname -r

اکیلے ورژن نمبر آپ کو کچھ نہیں بتاتا: ڈسٹری بیوشن بیک پورٹ بیس ورژن کو تبدیل کیے بغیر ان کے اپنے کرنل میں ٹھیک کرتا ہے۔ کرنل پیکج چینج لاگ کو چیک کرنا زیادہ قابل اعتماد ہے — اگر اس میں CVE نمبر کا ذکر ہے، تو فکس پہلے سے ہی انسٹال ہے۔

ڈیبین اور اوبنٹو:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

ڈیبین پر، uname -v کمانڈ چلانے والے دانا کا مکمل پیکیج ورژن بھی دکھاتا ہے: اس کا اوپر والے جدول سے موازنہ کریں۔

الما لینکس، راکی ​​لینکس، آر ایچ ای ایل، اوریکل لینکس:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

اگر کمانڈ کچھ نہیں پرنٹ کرتی ہے تو، چلنے والا دانا کمزور ہے۔

اگلا، چیک کریں کہ کون سی خدمات MPTCP کے ذریعے کنکشن قبول کرتی ہیں۔ مظاہرے کے حملے میں ان جیسے سرورز ہدف تھے:

ss -lnMp

خالی آؤٹ پٹ کا مطلب ہے کہ کوئی MPTCP سننے والے نہیں ہیں۔

مرحلہ 2۔ فکسڈ کرنل انسٹال کریں۔

کرنل کو اپ ڈیٹ کرنے سے پہلے اپنے سرور کا بیک اپ یا سنیپ شاٹ لیں۔

ڈیبین 12 اور 13

فکسڈ کرنل سیکیورٹی ریپوزٹری میں ہیں۔ یقینی بنائیں کہ یہ فعال ہے:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

اگر کچھ نہیں ملا تو شامل کریں۔ security.debian.org آپ کی رہائی کے لیے ذخیرہ۔ پھر سسٹم کو اپ ڈیٹ کریں:

apt update
apt full-upgrade
reboot

اوبنٹو

فکسڈ کرنل ابھی تک جاری نہیں کیے گئے ہیں۔ اپ ڈیٹس کے لیے چیک کریں:

apt update
apt list --upgradable | grep linux-image

اگر آپ کا سرور Ubuntu Pro سے منسلک ہے، تو آپ فکس پلان کو چیک کر سکتے ہیں:

pro fix CVE-2026-98432 --dry-run

ایک بار فکس جاری ہونے کے بعد، اسے انسٹال کریں اور ریبوٹ کریں:

apt update
apt full-upgrade
reboot

اس وقت تک، مرحلہ 3 سے عارضی تحفظ کا اطلاق یقینی بنائیں۔

AlmaLinux 8, 9, 10

فکسڈ کرنل فی الحال صرف ٹیسٹنگ ریپوزٹری میں دستیاب ہیں۔ اگر آپ کو پروڈکشن سرور پر ایسا کرنے میں آسانی ہو تو انہیں انسٹال کریں، اور اپ ڈیٹ کرنے سے پہلے اسنیپ شاٹ لینا یقینی بنائیں:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

ریبوٹ کرنے کے بعد، موازنہ کریں۔ uname -r اوپر والے جدول میں ورژن کے ساتھ۔ اگر آپ ٹیسٹنگ پیکجز کو انسٹال نہیں کرنا چاہتے ہیں تو، عارضی تحفظ کا اطلاق کریں اور درست کے مرکزی ذخیرہ تک پہنچنے کا انتظار کریں۔

راکی لینکس اور دیگر RHEL پر مبنی نظام

ابھی تک کوئی ٹھیک نہیں ہے۔ آپ اسے اس کے ساتھ دیکھ سکتے ہیں:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

ایک بار فکس جاری ہونے کے بعد:

dnf update kernel
reboot

اپ ڈیٹ کرنے کے بعد: ریبوٹ کی ضرورت ہے۔

نیا دانا صرف ریبوٹ کے بعد اثر انداز ہوتا ہے۔ یہ چیک کرنے کے لیے کہ آیا کسی کی ضرورت ہے:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

دوبارہ شروع کرنے کے بعد، مرحلہ 1 سے چیک کو دہرائیں۔

مرحلہ 3۔ عارضی تحفظ جب تک کہ ایک مقررہ دانا دستیاب نہ ہو۔

یہ اقدامات خطرے کو کم کرتے ہیں لیکن کرنل اپ ڈیٹ کو تبدیل نہیں کرتے ہیں۔

ٹرگر پیکٹ کو مسدود کریں۔

حملہ IPv4 ہیڈر میں IP اختیارات کے ساتھ TCP پیکٹ کا استعمال کرتا ہے۔ وہ عملی طور پر کبھی بھی عام ٹریفک میں نظر نہیں آتے، اور RFC 7126 پہلے ہی ان کو چھوڑنے کی تجویز کرتا ہے۔ نیچے دیئے گئے nftables کا اصول تمام آنے والے IPv4 TCP پیکٹ کو اختیارات کے ساتھ چھوڑ دیتا ہے اور IPv6، UDP یا ICMP کو متاثر نہیں کرتا ہے۔ یہ ufw اور فائر والڈ کے ساتھ کام کرتا ہے۔

nftables انسٹال کریں اگر یہ پہلے سے انسٹال نہیں ہے:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

رول فائل بنائیں:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

ہر ریبوٹ کے بعد قاعدہ کو بحال کرنے کے لیے، ایک systemd سروس بنائیں:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

چیک کریں کہ قاعدہ لوڈ ہے:

nft list table ip cve_2026_98432

اگر آپ nftables سروس کو گلوبل کے ساتھ دوبارہ شروع کرتے ہیں۔ flush ruleset قاعدہ، چلانا systemctl restart cve-2026-98432 afterwords.

اہم: CIPSO لیبلز (SELinux یا Smack NetLabel) استعمال کرنے والے نیٹ ورکس پر اس اصول کا اطلاق نہ کریں — IP کے اختیارات عام طور پر وہاں استعمال ہوتے ہیں۔ اگر آپ کا سرور ٹریفک کو دوسری مشینوں کے لیے روٹ کرتا ہے، تو اصول ان کے TCP پیکٹوں کو آئی پی کے اختیارات کے ساتھ چھوڑ دے گا۔

اگر آپ کو اس کی ضرورت نہیں ہے تو MPTCP کو غیر فعال کریں۔

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

یہ ترتیب صرف روکتی ہے۔ نیا MPTCP ساکٹ بنائے جانے سے۔ جو خدمات پہلے سے چل رہی ہیں وہ MPTCP کے ذریعے سنتی رہیں گی، اس لیے درج کردہ ہر سروس کو دوبارہ شروع کریں۔ ss -lnMp اور یقینی بنائیں کہ اس کا آؤٹ پٹ اب خالی ہے۔

AlmaLinux پر، MPTCP بطور ڈیفالٹ غیر فعال ہے جب تک کہ آپ اسے خود فعال نہ کریں۔

گو پروگراموں میں MPTCP کو غیر فعال کریں۔

Go 1.24 یا اس کے بعد کی خدمات کے لیے، آپ MPTCP کو ماحولیاتی متغیر کے ساتھ غیر فعال کر سکتے ہیں۔ مثال کے طور پر، نامی سروس کے لیے myservice:

systemctl edit myservice

کھلنے والی فائل میں درج ذیل کو شامل کریں:

[Service]
Environment=GODEBUG=multipathtcp=0

پھر سروس کو دوبارہ شروع کریں:

systemctl restart myservice

ایکسرے کو اپ ڈیٹ کریں۔

اگر آپ کا سرور Xray چلاتا ہے تو اسے v26.10.31 یا بعد میں اپ ڈیٹ کریں۔ پچھلے ورژن، v26.10.29 کو اس کے ڈویلپرز نے واپس لے لیا ہے۔ یہ اپ ڈیٹ MPTCP کو غیر فعال کر دیتا ہے لیکن کرنل کو ٹھیک نہیں کرتا، اس لیے کرنل اپ ڈیٹ کی ضرورت ہے۔

ایک اور ترتیب چیک کریں۔

دوسرا، تنگ استحصال کا راستہ فعال کرنے کے لیے ہجرت کی درخواست کی ضرورت ہے۔ یہ پہلے سے طے شدہ طور پر بند ہے - اس کو یقینی بنائیں:

sysctl net.ipv4.tcp_migrate_req

کمانڈ کو پرنٹ کرنا چاہئے۔ 0.

اپنی خدمات تک رسائی کو محدود کریں۔

ہر فائر وال پورٹ کو بند کریں جس تک انٹرنیٹ سے قابل رسائی ہونے کی ضرورت نہیں ہے۔ جہاں ممکن ہو، انتظامی خدمات — SSH، کنٹرول پینلز، ڈیٹا بیس — صرف بھروسہ مند IP پتوں پر کھولیں۔

مرحلہ 4۔ فکسڈ کرنل انسٹال کرنے کے بعد

1. سرور کو ریبوٹ کریں اور اس بات کی تصدیق کرنے کے لیے کہ فکسڈ کرنل چل رہا ہے مرحلہ 1 سے کمانڈز استعمال کریں۔
2. آپ عارضی اصول کو ہٹا سکتے ہیں:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. اگر آپ کو MPTCP کی ضرورت ہے تو ترتیب کو بحال کریں: حذف کریں۔ /etc/sysctl.d/99-disable-mptcp.conf اور چلائیں sysctl -w net.mptcp.enabled=1.

اگر کچھ غلط ہو جائے۔

اگر آپ کا سرور کرنل اپ ڈیٹ کے بعد بوٹ نہیں ہوتا ہے، تو کنٹرول پینل میں VNC کنسول کے ذریعے جڑیں اور بوٹ مینو میں پچھلا کرنل منتخب کریں۔ اگر آپ کو یقین نہیں ہے کہ آپ یہ کام خود کر سکتے ہیں، یا اپ ڈیٹ میں مدد کی ضرورت ہے، تو ہماری سپورٹ ٹیم سے رابطہ کریں۔