Kelemahan guna-selepas-bebas (UAF) dalam kod kernel Linux yang menyediakan sambungan TCP IPv4 masuk, CVE-2026-98432, diterbitkan oleh pasukan CVE kernel pada 15 Oktober dengan skor CVSS 3.1 9.8 (kritikal): boleh dicapai melalui rangkaian, tanpa memerlukan keistimewaan atau interaksi pengguna. Pada 27 Oktober, Anthropic, yang penyelidiknya melaporkan kelemahan ini, menerangkan satu eksploit: menghantar paket kepada pelayan Linux yang mempunyai pendengar TCP berbilang laluan (MPTCP) membolehkan penyerang menjalankan arahan sewenang-wenangnya sebagai root. Dalam bukti konsep mereka, ia mengambil masa 48 minit untuk membocorkan penunjuk kernel dari jauh dan lima minit lagi untuk mencapai pelaksanaan arahan; perlumbaan yang kalah hanya menggagalkan jabat tangan itu tanpa merosakkan sistem, jadi penyerang boleh terus mencuba.

Siapa yang Terjejas

  • Pepijat ini terletak dalam kod TCP IPv4 biasa: SYN yang membawa pilihan IPv4 dan dihantar ke port TCP IPv4 yang sedang mendengar boleh mencetuskannya, dan ia wujud sejak Linux 4.4. Sambungan IPv6 tidak terjejas oleh isu utama. Pendirian AlmaLinux ialah mana-mana sistem yang menerima sambungan TCP IPv4 daripada rangkaian yang tidak dipercayai patut dianggap terdedah.
  • Eksploit awam itu memerlukan pendengar MPTCP. Pasukan keselamatan Go memberi amaran pada 29 Oktober bahawa sejak Go 1.24, program Go mendayakan MPTCP secara lalai untuk soket pendengar di Linux, dan banyak panel, proksi serta alat pemantauan ditulis dalam Go; pasukan Go juga menegaskan bahawa pepijat asasnya tidak khusus kepada MPTCP, dan sistem tanpa pendengar MPTCP mungkin terdedah kepada serangan yang serupa.
  • Status pembaikan: Debian 13 dibaiki mulai 6.12.113-1 (DSA-6568-1) dan Debian 12 mulai 6.1.190-1 (DLA-4841-1); Red Hat mengeluarkan pembaikan kernel untuk RHEL 8, 9 dan 10 pada 1 November, dan repositori pengeluaran AlmaLinux mempunyai kernel yang dibaiki sejak 2 November. Setakat 5 November, Ubuntu masih menyenaraikan kernel generik dan awan (seperti linux-aws) pada 22.04, 24.04 dan 26.04 sebagai "Vulnerable, work in progress", dengan pembaikan akan dimasukkan ke dalam 5.15.0-203.213, 6.8.0-149.149 dan 7.0.0-43.43 masing-masing.

Apa yang Perlu Dilakukan Sehingga Pembaikan Tiba

  • Semak MPTCP dahulu: sysctl net.mptcp.enabled menunjukkan sama ada ia aktif, dan sudo ss -lnMp menyenaraikan pendengar MPTCP serta prosesnya. Jika anda tidak memerlukan MPTCP, matikannya: echo 'net.mptcp.enabled = 0' | sudo tee /etc/sysctl.d/90-disable-mptcp.conf, kemudian sudo sysctl -w net.mptcp.enabled=0. Seperti yang dinyatakan AlmaLinux, ini hanya menghentikan soket MPTCP baharu, jadi mulakan semula perkhidmatan yang memiliki pendengar sedia ada. Program Go juga boleh dimulakan dengan GODEBUG=multipathtcp=0, walaupun pasukan Go sendiri menyifatkan mematikannya program demi program sebagai langkah yang rapuh. 1Panel v2.4.2, dikeluarkan pada 30 Oktober, kini melumpuhkan MPTCP secara lalai.
  • Gugurkan paket TCP yang membawa pilihan IPv4: trafik biasa hampir tidak pernah menggunakannya, dan teras peraturan nftables yang diterbitkan AlmaLinux ialah meta l4proto tcp ip hdrlength > 5 counter drop (pada cangkuk prerouting). Ia tidak kekal selepas but semula, trafik antara kontena pada hos yang sama mungkin memintasnya, dan rangkaian yang bergantung pada label keselamatan CIPSO tidak patut menggunakannya.
  • Semua ini bukan pembaikan. Pasang pakej kernel pengedaran anda sebaik sahaja ia tersedia, but semula, dan sahkan dengan uname -r.

Jangan Keliru antara Dua Kelemahan Kernel Ini

Kumpulan berita ini turut membincangkan satu lagi kelemahan kernel: Fragnesia (CVE-2026-46300), yang disahkan CISA sedang dieksploitasi dan dirantaikan dengan kelemahan PHP untuk mendapat root. Ia ialah peningkatan keistimewaan setempat dengan kernel yang dibaiki tersedia sejak Mei, diterangkan dalam laporan ini; CVE-2026-98432 pula boleh diserang terus dari rangkaian, dan pengguna Ubuntu buat masa ini hanya boleh mengurangkan risiko. Untuk persediaan asas tembok api lihat tembok api ufw dan log masuk kunci SSH, untuk siri kelemahan kernel September lihat di sini, dan jika anda mengesyaki pencerobohan, ikuti siasatan dan pengukuhan semula VPS yang diceroboh.