OpenSSL Membaiki 14 Kelemahan pada 29 September: Pembaikan 3.0 Hanya untuk Pelanggan Berbayar, dan Sokongan 3.4 Tamat 22 Oktober

Pada 29 September 2026, OpenSSL menerbitkan nasihat keselamatan yang membaiki 14 CVE sekali gus: satu Tinggi (High), satu Sederhana (Moderate) dan dua belas Rendah (Low). Keluaran yang dibaiki ialah 4.0.3, 3.6.5, 3.5.9 dan 3.4.8. Baris yang patut diperhatikan ialah cetakan kecilnya: pembaikan untuk 3.0, 1.1.1 dan 1.0.2 (3.0.23, 1.1.1zj dan 1.0.2zs) ditanda "Premium support customers only", iaitu hanya untuk pelanggan sokongan premium.

Kelemahan Tinggi dan Sederhana

• Tinggi, CVE-2026-84782: logik penghantaran semula DTLS tidak mengendalikan dengan betul penulisan mesej jabat tangan yang tergantung separuh jalan, jadi penghantaran semula boleh mendedahkan memori timbunan kepada pihak satu lagi sebagai data jabat tangan teks biasa, atau ranap apabila membaca kawasan memori yang tidak dipetakan. Kesemua 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1 dan 1.0.2 terjejas. Nasihat itu hanya menghuraikan laluan DTLS. DTLS ialah TLS di atas UDP, manakala tapak HTTPS biasa menggunakan TLS di atas TCP; jika mana-mana perkhidmatan anda menggunakan DTLS, tangani yang ini dahulu.
• Sederhana, CVE-2026-84783: guna-selepas-bebas dalam cache sambungan X.509 semasa penggunaan serentak kali pertama, yang membolehkan pihak jauh yang tidak disahkan meranapkan klien TLS berbilang bebenang, atau pelayan TLS berbilang bebenang yang meminta sijil klien. Hanya 4.0 terjejas; 3.6 dan versi lebih awal tidak terjejas.
• Baki 12 yang semuanya Rendah melibatkan pemprosesan CRL, QUIC, saluran sisi pemasaan dalam aritmetik lengkung eliptik dan lain-lain.

Perubahan Sebenar Ada pada Tempoh Sokongan

Halaman strategi keluaran rasmi OpenSSL menyatakannya dengan jelas:

• 3.4 disokong sehingga 22 Oktober 2026, dan 3.6 sehingga 1 November 2026;
• 3.5 ialah keluaran sokongan jangka panjang (LTS), disokong sehingga 8 April 2030; 4.0 disokong sehingga 14 Mei 2027;
• 3.0, 1.1.1 dan 1.0.2 tidak lagi disokong, dengan pembaikan keselamatan hanya melalui sokongan lanjutan berbayar; 3.1, 3.2 dan 3.3 juga sudah tamat sokongan dan tidak dianalisis untuk nasihat ini.

Maksudnya bagi Sebuah VPS

Banyak sistem masih membawa siri 3.0: Ubuntu 22.04, Ubuntu 24.04 dan Debian 12 semuanya begitu. Dengan upstream tidak lagi menerbitkan pembaikan 3.0, kemas kini keselamatan bergantung sepenuhnya pada backport oleh pengedaran. Status yang kami dapati pada 12 Oktober:

• Ubuntu telah mengeluarkan kemas kini bagi kelemahan Tinggi itu: 3.0.2-0ubuntu1.30 pada 22.04, 3.0.13-0ubuntu3.16 pada 24.04 dan 3.5.5-1ubuntu3.6 pada 26.04; pembaikan untuk 20.04 dan 18.04 memerlukan Ubuntu Pro.
• Debian 13 dibaiki melalui DSA-6531-1 (3.5.7-1~deb13u3); Debian 12 masih ditanda vulnerable pada penjejak keselamatan.

Langkah yang perlu diambil: semak pustaka sistem dengan openssl version, cari kemas kini openssl / libssl yang belum dipasang dengan apt list --upgradable, dan selepas memasangnya, mulakan semula setiap perkhidmatan yang menggunakan TLS (Nginx, pangkalan data, e-mel dan sebagainya) — jika tidak, proses yang sedang berjalan masih memuatkan pustaka lama. Jika anda membina sendiri OpenSSL 3.4 dan memautkannya secara statik, tiada lagi pembaikan upstream selepas 22 Oktober, jadi beralihlah ke 3.5 LTS segera; 3.5 juga ialah keluaran dengan sokongan asli ML-KEM yang kami bincangkan dalam artikel TLS pasca-kuantum kami. Semasa memilih sistem, gunakan keluaran sokongan jangka panjang yang masih dalam tempoh sokongan — memilih sistem pengendalian VPS membandingkannya, dan artikel kami tentang naik taraf 24.04 ke 26.04 menerangkan laluan naik taraf Ubuntu. Untuk sijil dan HTTPS, lihat mengkonfigurasi sijil SSL Let's Encrypt.