קריטישע לינוקס קערנעל וואַלנעראַביליטי CVE-2026-98432: ווי צו קאָנטראָלירן און דערהייַנטיקן דיין VPS

אין אקטאבער 2026, איז געפונען געווארן א קריטישע שוואכקייט, CVE-2026-98432 , אין דעם לינוקס קערנעל, מיט א רייטינג פון 9.8 פון 10 אויף דער CVSS סקאלע. עס ווירקט אויף ווי אריינקומענדיקע IPv4 TCP קאנעקשאנס ווערן באהאנדלט און, אונטער געוויסע באדינגונגען, ערלויבט אן אטאקירער צו באקומען רוט צוטריט צו א סערווער פון ווייטן — אן קיין פאסווארט און אן קיין אקציע פארלאנגט פון דעם אדמיניסטראטאר.

אונטן איז ווער עס איז באטראפן, ווי אזוי צו קאנטראלירן אייער סערווער און ווי אזוי עס צו באשיצן. אלע קאמאנדעס ווערן געלאפן אלס רוט אדער מיט sudo.

די שוואַכקייט אין קורצן

• וואס איז דאס: א "use-after-free" באַג אין דעם קאָד וואָס שטעלט אויף IPv4 TCP פֿאַרבינדונגען, געפֿירט דורך אַ "race condition". דער אַטאַקירער שיקט ספּעציעל געמאַכטע פּאַקעטן צו יעדן אָפֿענעם TCP פּאָרט.
• אַפעקטירטע קערנס: יעדע ווערסיע זינט לינוקס 4.4, וואס מיינט כמעט יעדע איצטיקע דיסטריביוציע.
• יפּווקסנומקס איז נישט אַפעקטירט דורך דעם הויפּט באַג.
• ווי רעאַל די סכּנה איז: אנטראפּישע פארשער האבן דעמאנסטרירט א ארבעטנדיקע עקספּלויט קייט וואָס האט באַקומען רוט אַקסעס אויף אַ סערווער מיט Multipath TCP (MPTCP) ענייבאַלד אין אַרום 53 מינוט. דער עקספּלויט קאָד איז נישט ארויסגעגעבן געוואָרן.
• אטאקעס אין דער ווילדערניש: זינט דעם 1טן נאוועמבער 2026, איז קיין אויסניצן נישט געמאלדן געווארן. דאס איז א סיבה צו אפדעיטן רואיג, נישט א סיבה עס אפצולייגן.

גאָו סערוויסעס טראָגן אַ באַזונדער ריזיקע. זינט גאָו 1.24, הערן סערווער פּראָגראַמען אויף לינוקס אויף פּאָרטן דורך MPTCP דורך דיפאָלט ווען דער קערנעל ערלויבט עס. אַן אַדמיניסטראַטאָר קען אפילו נישט וויסן אַז זייער סערווער אַקסעפּטירט אַזעלכע קאַנעקשאַנז. צווישן פּאָפּולערע פּראָגראַמען, אַרבעט Xray אויף דעם וועג — זיינע דעוועלאָפּערס האָבן שוין אַרויסגעגעבן אַן עמערדזשענסי ווערסיע, v26.10.31, וואָס דיאַקטיווירט MPTCP דורך דיפאָלט.

יעדער VPS לויפט זיין אייגענעם קערנעל, אַזוי איר דאַרפט אַליין דערהייַנטיקן דעם קערנעל אין אייער סערווער. מיר דערהייַנטיקן די ווירטואַליזאַציע נאָודז אַליין.

איז דא א לייזונג פאר אייער סיסטעם

סטאַטוס פֿון 1טן נאָוועמבער 2026. פֿיקסעס לאַנדן כּמעט טעגלעך — קוקט די לינקס אין סוף פֿון דעם אַרטיקל פֿאַר דעם איצטיקן סטאַטוס.

שריט 1. קאָנטראָלירט וועלכע קערנעל איר לויפט

געפינט אויס די ווערסיע פון ​​די לויפנדיקע קערנעל:

uname -r

די ווערסיע נומער אליין זאגט אייך גארנישט: דיסטריביושאַנז צוריקפירן פיקסעס אין זייערע אייגענע קערנעלס אָן צו ענדערן די באַזע ווערסיע. עס איז מער פאַרלעסלעך צו קאָנטראָלירן די קערנעל פּעקל טשאַנגעלאָג — אויב עס דערמאנט די CVE נומער, איז די פיקסע שוין אינסטאַלירט.

דעביאַן און ובונטו:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

אויף דעביאן, די uname -v דער באַפֿעל ווײַזט אויך די גאַנצע פּאַקעט ווערסיע פֿון דעם לויפנדיקן קערנעל: פֿאַרגלײַכט עס מיט דער טאַבעלע אויבן.

אַלמאַלינוקס, ראַקי לינוקס, RHEL, אָראַקל לינוקס:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

אויב דער באַפֿעל דרוקט גאָרנישט, איז דער לויפנדיקער קערנעל שוואַך.

ווייטער, טשעק וועלכע סערוויסעס נעמען אן קאנעקשאנס דורך MPTCP. סערווערס ווי די זענען געווען די ציל אין דעם דעמאנסטרירטן אטאקע:

ss -lnMp

ליידיגע אויסגאבע מיינט אז עס זענען נישטא קיין MPTCP צוהערערס.

שריט 2. אינסטאַלירן דעם פאַרפעסטיקטן קערנעל

מאַכט אַ באַקאַפּ אָדער אַ סנעפּשאַט פֿון אײַער סערווער איידער איר דערהייַנטיקט דעם קערנעל.

דעביאַן 12 און 13

די פאַרריכטע קערנעלס זענען אין די זיכערהייט רעפּאָזיטאָרי. מאַכט זיכער אַז עס איז ענייבאַלד:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

אויב גאָרנישט ווערט געפֿונען, לייג צו די security.debian.org רעפּאָזיטאָרי פֿאַר דיין מעלדונג. דערנאָך דערהייַנטיקן די סיסטעם:

apt update
apt full-upgrade
reboot

ובונטו

פאַרריכטע קערנעלס זענען נאָך נישט ארויסגעגעבן געוואָרן. קוקט נאָך דערהייַנטיקונגען:

apt update
apt list --upgradable | grep linux-image

אויב אייער סערווער איז פארבונדן צו ובונטו פּראָ, קענט איר קאָנטראָלירן דעם פאַרריכטן פּלאַן:

pro fix CVE-2026-98432 --dry-run

אַמאָל די פֿיקס איז אַרויסגעגעבן, אינסטאַלירן עס און ריסטאַרט:

apt update
apt full-upgrade
reboot

ביז דעמאָלט, זייט זיכער צו צולייגן דעם צייטווייליגן שוץ פון שריט 3.

אַלמאַלינוקס 8, 9, 10

פאַרפעסטיקטע קערנעלס זענען איצט נאָר פֿאַראַן אין דעם טעסט רעפּאָזיטאָרי. אינסטאַלירט זיי אויב איר זענט באַקוועם צו טאָן דאָס אויף אַ פּראָדוקציע סערווער, און זייט זיכער צו נעמען אַ שנעלע בילד איידער איר דערהייַנטיקט:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

נאך ריסטארטן, פארגלייכן uname -r מיט די ווערסיעס אין דער טאבעלע אויבן. אויב איר ווילט גיכער נישט אינסטאלירן טעסט פּעקעדזשעס, לייגט אן די צייטווייליגע שוץ און ווארט ביז די פארראכטונג וועט דערגרייכן די הויפט רעפאזיטארי.

ראַקי לינוקס און אַנדערע RHEL-באַזירטע סיסטעמען

עס איז נאך נישטא קיין פאררעכטונג. איר קענט עס אויפפּאַסן מיט:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

אַמאָל די פֿאַרריכטונג איז אַרויסגעגעבן:

dnf update kernel
reboot

נאך דער אפדעיט: א ריסטארט איז פארלאנגט

דער נייער קערנעל ווערט ערשט עפעקטיוו נאך א ריסטארט. צו קאנטראלירן צי איינער איז נויטיג:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

נאך ריסטארטן, איבערחזרן די קאנטראל פון שריט 1.

שריט 3. צייטווייליגע שוץ ביז א פיקסירטער קערנעל איז פאראן

די מיטלען רעדוצירן דעם ריזיקע אבער פארטרעטן נישט א קערנעל אפדעיט.

בלאָקירן די טריגער פּאַקעטן

די אטאקע ניצט TCP פּאַקעטן מיט IP אָפּציעס אין די IPv4 כעדער. זיי דערשייַנען כּמעט קיינמאָל נישט אין נאָרמאַלן טראַפיק, און RFC 7126 רעקאָמענדירט שוין זיי אָפּצולאָזן. די nftables הערשן אונטן לאָזט אָפּ אַלע אַרײַנקומענדיקע IPv4 TCP פּאַקעטן מיט אָפּציעס און אַפעקטירט נישט IPv6, UDP אָדער ICMP. עס אַרבעט צוזאַמען מיט ufw און firewalld.

אינסטאַלירן nftables אויב עס איז נישט שוין אינסטאלירט:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

שאַפֿן די הערשן טעקע:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

כּדי צו האָבן די הערשן צוריקגעשטעלט נאָך יעדן ריסטאַרט, שאַפֿט אַ systemd סערוויס:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

קאָנטראָלירט אַז די כלל איז געלאָדן:

nft list table ip cve_2026_98432

אויב איר ריסטאַרט די nftables סערוויס מיט אַ גלאָבאַל flush ruleset הערשן, לויפן systemctl restart cve-2026-98432 דערנאָכדעם.

וויכטיג: ניצט נישט דעם כלל אויף נעטוואָרקס וואָס נוצן CIPSO לייבלס (SELinux אדער Smack NetLabel) — IP אָפּציעס ווערן דאָרט נאָרמאַל גענוצט. אויב אייער סערווער רוטירט טראַפיק פֿאַר אַנדערע מאַשינען, וועט דער כלל אויך אָפּוואַרפן זייערע TCP פּאַקעטן מיט IP אָפּציעס.

דיאַקטיווירן MPTCP אויב איר דאַרפֿט עס נישט

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

די סעטינג פארמיידט נאר נייַ MPTCP סאָקעטס פון ווערן באשאפן. סערוויסעס וואָס לויפן שוין וועלן ווייטער הערן דורך MPTCP, אַזוי ריסטאַרט יעדן סערוויס וואָס איז אויסגערעכנט דורך ss -lnMp און מאַכן זיכער אַז זיין רעזולטאַט איז איצט ליידיק.

אויף אַלמאַלינוקס, איז MPTCP אויסגעלאָשן דורך דיפאָלט סיידן איר האָט עס אַליין אַקטיוויזירט.

דיסייבאַל MPTCP אין גאָו פּראָגראַמען

פֿאַר סערוויסעס געבויט מיט Go 1.24 אָדער שפּעטער, קענט איר דיאַקטיווירן MPTCP מיט אַן ענווייערמענט וועריאַבל. למשל, פֿאַר אַ סערוויס גערופן myservice:

systemctl edit myservice

לייג צו די פאלגענדע צו דער טעקע וואס עפנט זיך:

[Service]
Environment=GODEBUG=multipathtcp=0

דערנאָך ריסטאַרט די סערוויס:

systemctl restart myservice

דערהייַנטיקט Xray

אויב אייער סערווער לויפט Xray, דערהייַנטיקט עס צו v26.10.31 אדער שפּעטער. די פריערדיקע ווערסיע, v26.10.29, איז צוריקגעצויגן געוואָרן דורך אירע דעוועלאָפּערס. די דערהייַנטיקונג דיאַקטיווירט MPTCP אָבער פאַרריכט נישט דעם קערנעל, אַזוי אַ קערנעל דערהייַנטיקונג איז נאָך נויטיק.

קוק נאך איין סעטינג

א צווייטער, שמאַלערער עקספּלויטאַציע וועג פארלאנגט אז בקשה מיגראַציע זאָל זיין ענייבאַלד. עס איז אויסגעלאָשן דורך דיפאָלט — מאַכט זיכער דערפון:

sysctl net.ipv4.tcp_migrate_req

דער באַפֿעל זאָל דרוקן 0.

באַגרענעצן צוטריט צו אייערע סערוויסעס

שליסט יעדן פיירוואַל פּאָרט וואָס דאַרף נישט זיין דערגרייכלעך פֿון אינטערנעט. וואו מעגלעך, עפֿנט אַדמיניסטראַטיווע סערוויסעס — SSH, קאָנטראָל פּאַנעלן, דאַטאַבייסעס — נאָר צו פֿאַרטרויטע IP אַדרעסן.

שריט 4. נאכדעם וואס איר אינסטאלירט דעם פארראכטענעם קערנעל

1. ריסטאַרט דעם סערווער און ניצט די קאָמאַנדעס פֿון שריט 1 צו באַשטעטיקן אַז דער פֿאַרריכטיקער קערנעל לויפט.
2. איר קענט אַראָפּנעמען די צייטווייליגע כלל:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. אויב איר דאַרפט MPTCP, צוריקשטעלן די סעטינג: ויסמעקן /etc/sysctl.d/99-disable-mptcp.conf און לויפן sysctl -w net.mptcp.enabled=1.

אויב עפּעס גייט פאַלש

אויב אייער סערווער בוטט נישט נאך דעם קערנעל אפדעיט, פארבינדט זיך דורך די VNC קאנסאל אין קאנטראל פאנעל און סעלעקטירט דעם פריערדיגן קערנעל אין דעם בוטן מעניו. אויב איר זענט נישט זיכער אז איר קענט דאס טון אליין, אדער דארפט הילף מיטן אפדעיט, קאנטאקטירט אונזער שטיצע מאַנשאַפֿט.