CVE-2026-98432: Báwo ni a ṣe le ṣàyẹ̀wò àti ṣe àtúnṣe VPS rẹ

Ní oṣù kẹwàá ọdún 2026, a rí àìlera pàtàkì kan, CVE-2026-98432 , nínú Linux kernel, tí a fún ní ìwọ̀n 9.8 nínú 10 lórí ìwọ̀n CVSS. Ó ní ipa lórí bí a ṣe ń ṣe àkóso àwọn ìsopọ̀ TCP IPv4 tí ń wọlé, àti, lábẹ́ àwọn ipò kan, ó ń jẹ́ kí olùkọlù kan rí gbòǹgbò wọlé sí olupin láti ọ̀nà jíjìn — láìsí ọ̀rọ̀ìpamọ́ àti pé kò sí ìgbésẹ̀ tí olùdarí nílò.

Àwọn tó ní ipa lórí ni ìsàlẹ̀ yìí, bí a ṣe lè ṣàyẹ̀wò olupin rẹ àti bí a ṣe lè dáàbò bò ó. Gbogbo àṣẹ ni a ń ṣiṣẹ́ gẹ́gẹ́ bí root tàbí pẹ̀lú sudo.

Àìlera náà ní kúkúrú

• Kini o jẹ: Àṣìṣe tí a lè lò lẹ́yìn tí kò ní lílò nínú kódì tí ó ń ṣètò àwọn ìsopọ̀ TCP IPv4, tí ipò ìdíje kan fà. Olùkọlù náà ń fi àwọn pákẹ́ẹ̀tì tí a ṣe ní pàtàkì ránṣẹ́ sí èyíkéyìí ibudo TCP tí ó ṣí sílẹ̀.
• Àwọn ekuro tí ó ní ipa: gbogbo àtúnṣe láti Linux 4.4, èyí tí ó túmọ̀ sí gbogbo ìpínkiri lọ́wọ́lọ́wọ́.
• IPv6 kò ní ipa lórí àṣìṣe pàtàkì náà.
• Báwo ni ewu náà ṣe jẹ́ òótọ́ tó: Àwọn olùwádìí nípa ẹ̀dá ènìyàn fi hàn pé ẹ̀wọ̀n ìlòkulò kan tí ó ń ṣiṣẹ́ tí ó gba ìwọ̀lé lórí olupin kan pẹ̀lú Multipath TCP (MPTCP) tí a ṣiṣẹ́ láàárín ìṣẹ́jú 53. Kò sí ìtẹ̀jáde koodu ìlòkulò náà.
• Àwọn ìkọlù nínú igbó: Láti ọjọ́ kìíní oṣù kọkànlá ọdún 2026, a kò tíì gbọ́ pé wọ́n ti ṣe ìfìyàjẹni kankan. Ìdí nìyẹn láti fi ìfọ̀kànbalẹ̀ ṣe àtúnṣe, kì í ṣe ìdí láti fi dá a dúró.

Àwọn iṣẹ́ Go ní ewu ọ̀tọ̀. Láti ìgbà Go 1.24, àwọn ètò olupin lórí Linux máa ń gbọ́ lórí àwọn ibudo nípasẹ̀ MPTCP ní àìyípadà nígbàkúgbà tí kernel bá gbà á láàyè. Olùṣàkóso kan lè má mọ̀ pé olupin wọn máa ń gba irú àwọn ìsopọ̀ bẹ́ẹ̀. Láàrín àwọn ètò olókìkí, Xray ń ṣiṣẹ́ lọ́nà yìí — àwọn olùgbékalẹ̀ rẹ̀ ti ṣe àtúnṣe ìpayà kan, v26.10.31, èyí tí ó máa ń mú kí MPTCP má ṣiṣẹ́ láìyípadà.

VPS kọ̀ọ̀kan ló ń lo kernel tirẹ̀, nítorí náà o ní láti ṣe àtúnṣe kernel inú olupin rẹ fúnra rẹ. A máa ń ṣe àtúnṣe àwọn nódù virtualization fúnra wa.

Ǹjẹ́ àtúnṣe kan wà fún ètò rẹ

Ipo naa lati Oṣu kọkanla ọjọ 1, ọdun 2026. Awọn atunṣe n dide lojoojumọ — ṣayẹwo awọn ọna asopọ ni opin nkan yii fun ipo lọwọlọwọ.

Igbesẹ 1. Ṣayẹwo iru kernel ti o n ṣiṣẹ

Wa ẹya ti kernel ti nṣiṣẹ:

uname -r

Nọ́mbà ẹ̀yà náà nìkan kò sọ ohunkóhun fún ọ: ìpínkiri backport ń ṣe àtúnṣe sí àwọn kernels tiwọn láìyí àyípadà ẹ̀yà ìpìlẹ̀ náà. Ó ṣeé gbẹ́kẹ̀lé jù láti ṣàyẹ̀wò ìyípadà package kernel — tí ó bá mẹ́nu ba nọ́mbà CVE, àtúnṣe náà ti wà lórí rẹ̀ tẹ́lẹ̀.

Debian ati Ubuntu:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

Lórí Debian, uname -v àṣẹ náà tún fi gbogbo ẹ̀dà package ti ẹ́rẹ́lì tí ń ṣiṣẹ́ hàn: fi wéra pẹ̀lú tábìlì tí ó wà lókè.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

Tí àṣẹ náà kò bá tẹ ohunkóhun jáde, ekuro tó ń ṣiṣẹ́ náà lè fara pa.

Lẹ́yìn náà, ṣàyẹ̀wò àwọn iṣẹ́ wo ló ń gba àwọn ìsopọ̀ nípasẹ̀ MPTCP. Àwọn olupin bí ìwọ̀nyí ni a fojúsùn nínú ìkọlù tí a fihàn:

ss -lnMp

Ìjáde òfo túmọ̀ sí wípé kò sí àwọn olùgbọ́ MPTCP.

Igbesẹ 2. Fi ekuro ti a ti tunṣe sii

Ya afẹyinti tabi aworan ti olupin rẹ ṣaaju ṣiṣe imudojuiwọn kernel naa.

Debian 12 ati 13

Àwọn kérnẹ́lì tí a ti yípadà wà ní ibi ìpamọ́ ààbò. Rí i dájú pé ó ṣiṣẹ́:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

Tí a kò bá rí ohunkóhun, fi kún un security.debian.org ibi ipamọ fun itusilẹ rẹ. Lẹhinna ṣe imudojuiwọn eto naa:

apt update
apt full-upgrade
reboot

Ubuntu

A kò tíì tú àwọn kernels tí a ti ṣe àtúnṣe sílẹ̀. Ṣàyẹ̀wò fún àwọn àtúnṣe tuntun:

apt update
apt list --upgradable | grep linux-image

Tí olupin rẹ bá so mọ́ Ubuntu Pro, o lè ṣàyẹ̀wò ètò àtúnṣe náà:

pro fix CVE-2026-98432 --dry-run

Ni kete ti atunṣe naa ba ti tu silẹ, fi sori ẹrọ ki o tun bẹrẹ:

apt update
apt full-upgrade
reboot

Títí di ìgbà náà, rí i dájú pé o lo ààbò ìgbà díẹ̀ láti Igbese 3.

AlmaLinux 8, 9, àti 10

Àwọn kérnẹ́lì tí a ti túnṣe wà ní ibi ìpamọ́ ìdánwò nìkan lọ́wọ́lọ́wọ́. Fi wọ́n sí orí ẹ̀rọ ìṣiṣẹ́ tí ó bá rọrùn fún ọ láti ṣe bẹ́ẹ̀, kí o sì rí i dájú pé o ya àwòrán kan kí o tó ṣe àtúnṣe:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

Lẹ́yìn tí o bá tún bẹ̀rẹ̀, fiwé uname -r pẹ̀lú àwọn ẹ̀yà tó wà nínú tábìlì tó wà lókè yìí. Tí o kò bá fẹ́ fi àwọn ìdánwò sínú àwọn àpótí, lo ààbò ìgbà díẹ̀ kí o sì dúró títí àtúnṣe náà yóò fi dé ibi ìkópamọ́ pàtàkì.

Rocky Linux àti àwọn ètò ìṣiṣẹ́ RHEL mìíràn

Kò sí àtúnṣe kankan síbẹ̀. O lè wo ó pẹ̀lú:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

Nígbà tí àtúnṣe náà bá ti jáde:

dnf update kernel
reboot

Lẹ́yìn tí a bá ti ṣe àtúnṣe: a nílò àtúnṣe

Kéréènì tuntun náà máa ń ṣiṣẹ́ lẹ́yìn àtúnṣe. Láti ṣàyẹ̀wò bóyá ó pọndandan:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

Lẹ́yìn tí o bá ti tún bẹ̀rẹ̀, tún ṣe àyẹ̀wò láti Ìgbésẹ̀ 1.

Igbesẹ 3. Idaabobo igba diẹ titi ti kernel ti o wa titi yoo fi wa

Àwọn ìgbésẹ̀ wọ̀nyí dín ewu kù ṣùgbọ́n wọn kò rọ́pò ìmúdàgbàsókè kernel.

Dínà àwọn pákẹ́ẹ̀tì ìfàgùn

Ìkọlù náà lo àwọn páàkì TCP pẹ̀lú àwọn àṣàyàn IP nínú àkọlé IPv4. Wọ́n fẹ́rẹ̀ẹ́ má hàn ní ojú ọ̀nà déédéé, RFC 7126 sì ti dámọ̀ràn pé kí wọ́n fi wọ́n sílẹ̀. Òfin nftables ní ìsàlẹ̀ yìí sọ gbogbo àwọn páàkì IPv4 TCP tí ń wọlé pẹ̀lú àwọn àṣàyàn sílẹ̀, kò sì ní ipa lórí IPv6, UDP tàbí ICMP. Ó ń ṣiṣẹ́ pẹ̀lú ufw àti firewalld.

Fi nftables sori ẹrọ ti ko ba ti fi sii tẹlẹ:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

Ṣẹda faili ofin naa:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

Láti mú òfin náà padà lẹ́yìn gbogbo àtúnṣe, ṣẹ̀dá iṣẹ́ systemd kan:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

Ṣàyẹ̀wò pé òfin náà ti kún:

nft list table ip cve_2026_98432

Tí o bá tún bẹ̀rẹ̀ iṣẹ́ nftables pẹ̀lú àgbáyé kan flush ruleset ṣe òfin, sáré systemctl restart cve-2026-98432 lehin.

Pàtàkì: má ṣe lo òfin yìí lórí àwọn nẹ́tíwọ́ọ̀kì tí wọ́n ń lo àwọn àmì CIPSO (SELinux tàbí Smack NetLabel) — Àwọn àṣàyàn IP ni a sábà máa ń lò níbẹ̀. Tí olupin rẹ bá ń darí ìtajà fún àwọn ẹ̀rọ mìíràn, òfin náà yóò tún fi àwọn páàkì TCP wọn pẹ̀lú àwọn àṣàyàn IP sílẹ̀.

Mu MPTCP kuro ti o ko ba nilo rẹ

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

Ètò yìí kàn ń dènà rẹ̀ nìkan titun Àwọn ìsokọ́ MPTCP kò ní ṣẹ̀dá. Àwọn iṣẹ́ tí ń ṣiṣẹ́ tẹ́lẹ̀ yóò máa fetísílẹ̀ nípasẹ̀ MPTCP, nítorí náà, tún bẹ̀rẹ̀ gbogbo iṣẹ́ tí a kọ sílẹ̀ láti ọwọ́ àwọn olùpèsè. ss -lnMp kí o sì rí i dájú pé ìjáde rẹ̀ ti ṣofo báyìí.

Lórí AlmaLinux, a máa ń pa MPTCP láìsí àyípadà àyàfi tí o bá ti mú un fúnra rẹ ṣiṣẹ́.

Mu awọn eto MPTCP in Go kuro

Fún àwọn iṣẹ́ tí a kọ́ pẹ̀lú Go 1.24 tàbí lẹ́yìn náà, o lè mú MPTCP kúrò pẹ̀lú oníyípadà àyíká kan. Fún àpẹẹrẹ, fún iṣẹ́ tí a pè ní iṣẹ́ kan tí a ń pè ní iṣẹ́ Go 1.24 tàbí lẹ́yìn náà, o lè mú MPTCP kúrò pẹ̀lú oníyípadà àyíká kan. myservice:

systemctl edit myservice

Fi atẹle yii kun faili ti o ṣii:

[Service]
Environment=GODEBUG=multipathtcp=0

Lẹhinna tun bẹrẹ iṣẹ naa:

systemctl restart myservice

Ṣe imudojuiwọn Xray

Tí olupin rẹ bá ń lo Xray, ṣe àtúnṣe sí v26.10.31 tàbí lẹ́yìn náà. Àwọn olùgbékalẹ̀ rẹ̀ ti fagilé ẹ̀yà tí ó ti wà tẹ́lẹ̀, v26.10.29. Ìmúdàgba yìí ń mú kí MPTCP má ṣiṣẹ́ ṣùgbọ́n kò ṣe àtúnṣe kernel, nítorí náà a ṣì nílò àtúnṣe kernel.

Ṣayẹwo eto kan diẹ sii

Ọ̀nà ìlòkulò kejì tó kéré sí i nílò kí ìbéèrè ìṣípò náà ṣiṣẹ́. Ó ti pa nípa àìyípadà — rí i dájú pé ó wà níbẹ̀:

sysctl net.ipv4.tcp_migrate_req

Àṣẹ náà yẹ kí ó tẹ̀ jáde 0.

Dín ìwọ̀lé sí àwọn iṣẹ́ rẹ kù

Ti gbogbo ibudo ogiriina ti ko nilo lati de ọdọ rẹ lati intanẹẹti. Nibiti o ba ti ṣee ṣe, ṣii awọn iṣẹ iṣakoso — SSH, awọn panẹli iṣakoso, awọn ibi ipamọ data — si awọn adirẹsi IP ti o gbẹkẹle nikan.

Igbesẹ 4. Lẹhin fifi sori ẹrọ kernel ti o wa titi

1. Tun olupin naa bẹrẹ ki o lo awọn aṣẹ lati Igbese 1 lati jẹrisi pe kernel ti o wa titi n ṣiṣẹ.
2. O le yọ ofin igba diẹ kuro:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. Tí o bá nílò MPTCP, mú ètò náà padà sípò: pa á rẹ́ /etc/sysctl.d/99-disable-mptcp.conf ati ṣiṣe sysctl -w net.mptcp.enabled=1.

Ti nkan kan ba jẹ aṣiṣe

Tí olupin rẹ kò bá bẹ̀rẹ̀ lẹ́yìn àtúnṣe kernel, sopọ̀ mọ́ ẹ̀rọ VNC nínú pánẹ́lì ìṣàkóso kí o sì yan kernel tó ti kọjá nínú àkójọ boot. Tí o kò bá dá ọ lójú pé o lè ṣe èyí fúnra rẹ, tàbí o nílò ìrànlọ́wọ́ pẹ̀lú àtúnṣe náà, kan sí ẹgbẹ́ ìrànlọ́wọ́ wa.