Linux yadrosining muhim zaifligi CVE-2026-98432: VPS-ni qanday tekshirish va yangilash kerak

2026-yil oktabr oyida Linux yadrosida CVE-2026-98432 nomli muhim zaiflik topildi, u CVSS shkalasi bo'yicha 10 balldan 9.8 ball bilan baholandi. Bu kiruvchi IPv4 TCP ulanishlarining qanday boshqarilishiga ta'sir qiladi va ma'lum sharoitlarda tajovuzkorga serverga masofadan turib root kirish huquqini olish imkonini beradi — parolsiz va administratordan hech qanday harakat talab qilinmaydi.

Quyida kim ta'sirlangani, serveringizni qanday tekshirish va uni qanday himoya qilish kerakligi ko'rsatilgan. Barcha buyruqlar root yoki uning yordamida bajariladi sudo.

Qisqacha zaiflik

• Bu nima: IPv4 TCP ulanishlarini o'rnatadigan koddagi poyga sharti tufayli yuzaga keladigan foydalanishdan keyin bepul xato. Hujumchi maxsus tayyorlangan paketlarni istalgan ochiq TCP portiga yuboradi.
• Ta'sirlangan yadrolar: Linux 4.4 dan boshlab har bir versiya, bu deyarli barcha mavjud distributivlarni anglatadi.
• IPv6 asosiy xato ta'sir qilmaydi.
• Bu tahdid qanchalik real: Antropik tadqiqotchilar Multipath TCP (MPTCP) yoqilgan serverda taxminan 53 daqiqada root kirish huquqini qo'lga kiritgan ishlaydigan ekspluatatsiya zanjirini namoyish etdilar. Eksploit kodi nashr etilmagan.
• Yovvoyi tabiatdagi hujumlar: 2026-yil 1-noyabr holatiga ko'ra, hech qanday ekspluatatsiya haqida xabar berilmagan. Bu uni keyinga qoldirish uchun sabab emas, balki xotirjamlik bilan yangilash uchun sababdir.

Go xizmatlari alohida xavf tug'diradi. Go 1.24 versiyasidan boshlab, Linuxdagi server dasturlari yadro ruxsat bergan har qanday vaqtda MPTCP orqali portlarni sukut bo'yicha tinglaydi. Administrator hatto o'z serveri bunday ulanishlarni qabul qilishini ham bilmasligi mumkin. Ommabop dasturlar orasida Xray shunday ishlaydi — uning ishlab chiquvchilari allaqachon MPTCP ni sukut bo'yicha o'chirib qo'yadigan favqulodda versiyasini, v26.10.31 ni chiqardilar.

Har bir VPS o'z yadrosini ishga tushiradi, shuning uchun siz serveringiz ichidagi yadroni o'zingiz yangilashingiz kerak. Biz virtualizatsiya tugunlarini o'zimiz yangilaymiz.

Tizimingiz uchun tuzatish bormi?

2026-yil 1-noyabr holatiga ko'ra holat. Tuzatishlar deyarli har kuni amalga oshirilmoqda — joriy holat uchun ushbu maqola oxiridagi havolalarni tekshiring.

1-qadam. Qaysi yadro ishlayotganini tekshiring

Ishlayotgan yadro versiyasini bilib oling:

uname -r

Versiya raqamining o'zi sizga hech narsa demaydi: distributivlarning orqa porti asosiy versiyasini o'zgartirmasdan o'z yadrolariga o'rnatiladi. Yadro paketining o'zgarishlar jurnalini tekshirish ishonchliroq - agar u CVE raqamini eslatsa, tuzatish allaqachon o'rnatilgan.

Debian va Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Debian’da, uname -v buyruq shuningdek, ishlayotgan yadroning to'liq paket versiyasini ko'rsatadi: uni yuqoridagi jadval bilan taqqoslang.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Agar buyruq hech narsa yozmasa, ishlayotgan yadro zaif bo'ladi.

Keyin, qaysi xizmatlar MPTCP orqali ulanishlarni qabul qilishini tekshiring. Ko'rsatilgan hujumda shunga o'xshash serverlar nishonga olingan:

ss -lnMp

Bo'sh chiqish MPTCP tinglovchilari yo'qligini anglatadi.

2-qadam. Ruxsat etilgan yadroni o'rnating

Yadroni yangilashdan oldin serveringizning zaxira nusxasini yoki suratini oling.

Debian 12 va 13

O'rnatilgan yadrolar xavfsizlik omborida. Uning yoqilganligiga ishonch hosil qiling:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Hech narsa topilmasa, qo'shing security.debian.org nashringiz uchun ombor. Keyin tizimni yangilang:

apt update
apt full-upgrade
reboot

Ubuntu

Tuzatilgan yadrolar hali chiqarilmagan. Yangilanishlarni tekshiring:

apt update
apt list --upgradable | grep linux-image

Agar serveringiz Ubuntu Pro-ga ulangan bo'lsa, tuzatish rejasini tekshirishingiz mumkin:

pro fix CVE-2026-98432 --dry-run

Tuzatish chiqarilgandan so'ng, uni o'rnating va qayta ishga tushiring:

apt update
apt full-upgrade
reboot

Ungacha, 3-bosqichdan boshlab vaqtinchalik himoyani qo'llashni unutmang.

AlmaLinux 8, 9, 10

Tuzatilgan yadrolar hozirda faqat sinov omborida mavjud. Agar siz ularni ishlab chiqarish serverida o'rnatishni qulay deb bilsangiz, ularni o'rnating va yangilashdan oldin suratga olishni unutmang:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Qayta ishga tushirgandan so'ng, taqqoslang uname -r Yuqoridagi jadvaldagi versiyalar bilan. Agar siz sinov paketlarini o'rnatishni istamasangiz, vaqtinchalik himoyani qo'llang va tuzatish asosiy omborga yetib borishini kuting.

Rocky Linux va boshqa RHEL asosidagi tizimlar

Hali hech qanday yechim yo'q. Buni quyidagicha kuzatishingiz mumkin:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Tuzatish chiqarilgandan so'ng:

dnf update kernel
reboot

Yangilashdan so'ng: qayta ishga tushirish talab qilinadi

Yangi yadro faqat qayta ishga tushirilgandan so'ng kuchga kiradi. Bittasi kerak yoki kerak emasligini tekshirish uchun:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Qayta ishga tushirgandan so'ng, 1-bosqichdan boshlab tekshirishni takrorlang.

3-qadam. Ruxsat etilgan yadro mavjud bo'lguncha vaqtinchalik himoya

Ushbu choralar xavfni kamaytiradi, ammo yadro yangilanishining o'rnini bosmaydi.

Trigger paketlarini bloklang

Hujum IPv4 sarlavhasida IP parametrlari bo'lgan TCP paketlaridan foydalanadi. Ular deyarli hech qachon oddiy trafikda ko'rinmaydi va RFC 7126 ularni o'chirishni tavsiya qiladi. Quyidagi nftables qoidasi barcha kiruvchi IPv4 TCP paketlarini parametrlari bilan o'chiradi va IPv6, UDP yoki ICMP ga ta'sir qilmaydi. U ufw va firewalld bilan birga ishlaydi.

Agar nftables hali o'rnatilmagan bo'lsa, uni o'rnating:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Qoida faylini yarating:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Har bir qayta ishga tushirilgandan so'ng qoidani tiklash uchun systemd xizmatini yarating:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Qoida yuklanganligini tekshiring:

nft list table ip cve_2026_98432

Agar siz nftables xizmatini global bilan qayta ishga tushirsangiz flush ruleset boshqarish, yugurish systemctl restart cve-2026-98432 keyin.

Muhim: ushbu qoidani CIPSO yorliqlaridan (SELinux yoki Smack NetLabel) foydalanadigan tarmoqlarda qo'llamang — IP parametrlari odatda u yerda ishlatiladi. Agar serveringiz trafikni boshqa mashinalar uchun yo'naltirsa, qoida ularning TCP paketlarini IP parametrlari bilan ham tashlab yuboradi.

Agar sizga MPTCP kerak bo'lmasa, uni o'chirib qo'ying

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Bu sozlama faqat oldini oladi yangi MPTCP soketlari yaratilishiga to'sqinlik qiladi. Ishlayotgan xizmatlar MPTCP orqali tinglashda davom etadi, shuning uchun ro'yxatdagi barcha xizmatlarni qayta ishga tushiring ss -lnMp va uning chiqishi endi bo'sh ekanligiga ishonch hosil qiling.

AlmaLinux-da, agar siz uni o'zingiz yoqmasangiz, MPTCP sukut bo'yicha o'chirib qo'yilgan bo'ladi.

Go dasturlarida MPTCP ni o'chirib qo'ying

Go 1.24 yoki undan keyingi versiyalarida yaratilgan xizmatlar uchun siz MPTCP ni muhit o'zgaruvchisi bilan o'chirib qo'yishingiz mumkin. Masalan, deb nomlangan xizmat uchun myservice:

systemctl edit myservice

Ochilgan faylga quyidagilarni qo'shing:

[Service]
Environment=GODEBUG=multipathtcp=0

Keyin xizmatni qayta ishga tushiring:

systemctl restart myservice

Xrayni yangilang

Agar serveringizda Xray ishlayotgan bo'lsa, uni v26.10.31 yoki undan keyingi versiyasiga yangilang. Oldingi versiya, v26.10.29, uning ishlab chiquvchilari tomonidan olib tashlandi. Ushbu yangilanish MPTCP ni o'chirib qo'yadi, lekin yadroni tuzatmaydi, shuning uchun yadroni yangilash hali ham talab qilinadi.

Yana bitta sozlamani tekshiring

Ikkinchi, torroq ekspluatatsiya yo'li so'rovlarni ko'chirishni yoqishini talab qiladi. U sukut bo'yicha o'chirilgan - bunga ishonch hosil qiling:

sysctl net.ipv4.tcp_migrate_req

Buyruq chop etilishi kerak 0.

Xizmatlaringizga kirishni cheklang

Internetdan kirish mumkin bo'lmagan barcha xavfsizlik devori portlarini yoping. Iloji bo'lsa, ma'muriy xizmatlarni - SSH, boshqaruv panellari, ma'lumotlar bazalarini - faqat ishonchli IP manzillarga oching.

4-qadam. Ruxsat etilgan yadroni o'rnatgandan so'ng

1. Serverni qayta ishga tushiring va 1-bosqichdagi buyruqlardan foydalanib, o'rnatilgan yadro ishlayotganini tasdiqlang.
2. Vaqtinchalik qoidani olib tashlashingiz mumkin:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Agar sizga MPTCP kerak bo'lsa, sozlamani tiklang: o'chirish /etc/sysctl.d/99-disable-mptcp.conf va chopish sysctl -w net.mptcp.enabled=1.

Agar biror narsa noto'g'ri bo'lsa

Agar serveringiz yadro yangilanishidan keyin ishga tushmasa, boshqaruv panelidagi VNC konsoli orqali ulaning va yuklash menyusida oldingi yadroni tanlang. Agar buni o'zingiz qila olishingizga ishonchingiz komil bo'lmasa yoki yangilanish bo'yicha yordamga muhtoj bo'lsangiz, bizning qo'llab-quvvatlash guruhimizga murojaat qiling.