Pada 7 November kami melaporkan kelemahan jabat tangan TCP dalam kernel Linux, CVE-2026-98432 (lihat laporan itu). Ketika itu Debian, Red Hat dan AlmaLinux sudah mengeluarkan pembaikan dan hanya Ubuntu yang masih menyatakan "work in progress". Pada 10 November Ubuntu menerbitkan sekumpulan notis keselamatan kernel, dan pakej yang telah dibaiki kini berada dalam arkib kemas kini untuk 22.04, 24.04 dan 26.04. Ubuntu menilai kelemahan ini sebagai Critical, dengan skor CVSS 9.8. Jika pelayan anda menjalankan Ubuntu, tugas anda sekarang ialah menaik taraf kernel dan but semula.

Versi yang Telah Dibaiki

  • 24.04 (USN-9022-1): kernel generik 6.8.0-149.149, linux-aws 6.8.0-1069.74, linux-azure 6.8.0-1073.82, linux-gcp 6.8.0-1073.81, linux-oracle 6.8.0-1067.71.
  • 22.04 (USN-9027-1): kernel generik 5.15.0-203.213, linux-aws 5.15.0-1120.127, linux-azure 5.15.0-1126.135, linux-gcp 5.15.0-1121.131, linux-kvm 5.15.0-1112.117. Jika anda menjalankan kernel awan 6.8 pada 22.04, lihat USN-9024-1; linux-aws-6.8, sebagai contoh, ialah 6.8.0-1069.74~22.04.1.
  • 26.04 (USN-9018-1): kernel generik 7.0.0-43.43, linux-aws 7.0.0-1017.18. Pada 26.10, pembaikannya terdapat dalam 7.3.0-10.10.
  • Belum dikeluarkan (status pada halaman Ubuntu setakat 11 November): kernel HWE 22.04, linux-hwe-6.8 (versi yang sedang menunggu ialah 6.8.0-149.149~22.04.1), linux-hwe-7.0 pada 24.04 (7.0.0-43.43~24.04.1), dan kernel 5.4 pada 20.04 (5.4.0-247.267; 20.04 hanya menerima kemas kini melalui ESM berbayar). Jika anda menjalankan salah satu daripadanya, teruskan bergantung pada peraturan sementara di bawah.

Langkah Naik Taraf

  • Jalankan uname -r untuk melihat kernel semasa. Akhiran selepas nombor versi, seperti -generic, -aws atau -azure, menunjukkan varian kernel yang anda gunakan; cari versi yang telah dibaiki bagi varian itu dalam senarai di atas.
  • Jalankan sudo apt update && sudo apt full-upgrade untuk memasang kernel baharu. Notis Ubuntu memberi amaran bahawa ABI kernel telah berubah, jadi modul kernel pihak ketiga yang anda bina sendiri mesti dikompil semula; sistem yang menggunakan metapakej kernel standard menguruskannya secara automatik semasa naik taraf.
  • Anda mesti but semula selepas itu: sudo reboot. Kemas kini automatik (unattended-upgrades) memasang pakej tetapi tidak but semula secara lalai, jadi mengaktifkannya tidak bermakna pelayan anda sudah dibaiki; jika fail /var/run/reboot-required masih wujud, kernel baharu belum berjalan. Selepas but semula, jalankan uname -r sekali lagi dan sahkan versinya tidak lebih rendah daripada yang disenaraikan.

Jika Anda Belum Boleh Menaik Taraf: Peraturan Sementara Ubuntu

Halaman Ubuntu untuk kelemahan ini memberikan satu peraturan nftables yang menggugurkan paket TCP IPv4 masuk yang membawa pilihan IP. Terasnya ialah ip protocol tcp ip hdrlength > 5 counter drop, diletakkan pada rantai input dalam satu jadual berasingan, inet cve_2026_98432 (keutamaan -310). Menurut Ubuntu, pilihan TCP seperti cap masa dan penskalaan tetingkap tidak terjejas, begitu juga IPv6; kontena yang mempunyai rangkaian berasingan memerlukan peraturan itu dikenakan secara berasingan; dan ia mengurangkan risiko tetapi tidak menghalang eksploitasi sepenuhnya. Setelah kernel dinaik taraf dan mesin dibut semula, buang jadual itu dengan sudo nft delete table inet cve_2026_98432 dan padam baris include yang sepadan daripada /etc/nftables.conf. Melumpuhkan MPTCP, yang kami terangkan dalam laporan terdahulu, ialah langkah sementara daripada jenis yang sama, dan sama ada anda mengaktifkannya semula selepas naik taraf kernel terpulang kepada anda.

Satu peringatan sementara anda menguruskan hal ini: sokongan percuma untuk 20.04 sudah lama tamat, dan sokongan standard untuk 22.04 hanya berjalan sehingga April 2027; laluan naik tarafnya ada dalam artikel ini. Persediaan asas tembok api ada dalam tembok api ufw dan log masuk kunci SSH, dan jika pelayan menunjukkan proses atau log masuk yang tidak dikenali semasa ia belum ditampal, ikuti panduan siasatan pencerobohan dan pengukuhan kami.