11 月 7 日我們報導了 Linux 核心 TCP 握手漏洞 CVE-2026-98432（見那篇報導），當時 Debian、Red Hat、AlmaLinux 都已修復，只有 Ubuntu 還標著「work in progress」。11 月 10 日，Ubuntu 一次發布了一批核心安全公告，修正套件已經進入 22.04、24.04 和 26.04 的更新套件庫。Ubuntu 把這個漏洞的優先順序定為 Critical，CVSS 評分 9.8。用 Ubuntu 的伺服器現在該做的是升級核心並重啟。

修復版本對照

  • 24.04（USN-9022-1）：通用核心 6.8.0-149.149，linux-aws 6.8.0-1069.74，linux-azure 6.8.0-1073.82，linux-gcp 6.8.0-1073.81，linux-oracle 6.8.0-1067.71。
  • 22.04（USN-9027-1）：通用核心 5.15.0-203.213，linux-aws 5.15.0-1120.127，linux-azure 5.15.0-1126.135，linux-gcp 5.15.0-1121.131，linux-kvm 5.15.0-1112.117。在 22.04 上跑 6.8 雲端核心的看 USN-9024-1，例如 linux-aws-6.8 是 6.8.0-1069.74~22.04.1。
  • 26.04（USN-9018-1）：通用核心 7.0.0-43.43，linux-aws 7.0.0-1017.18。26.10 的修復在 7.3.0-10.10。
  • 還沒發布的（按 Ubuntu 頁面 11 月 11 日的狀態）：22.04 的 HWE 核心 linux-hwe-6.8（待發布版本 6.8.0-149.149~22.04.1）、24.04 的 linux-hwe-7.0（7.0.0-43.43~24.04.1），以及 20.04 的 5.4 核心（5.4.0-247.267，20.04 的更新只透過付費的 ESM 提供）。用這幾種核心的，繼續靠下面的臨時規則。

升級步驟

  • 先用 uname -r 看目前核心。版本號後面的 -generic、-aws、-azure 等字尾說明你用的是哪一種核心，對照上面的表找到對應的修復版本。
  • 執行 sudo apt update && sudo apt full-upgrade 裝上新核心。Ubuntu 的公告提醒，這次核心的 ABI 有變化，自己編譯安裝過第三方核心模組的要重新編譯；用標準核心中繼套件的系統，升級時會自動處理。
  • 裝完必須重啟：sudo reboot。自動更新（unattended-upgrades）預設只裝套件、不重啟，所以「開了自動更新」不等於已經修好；/var/run/reboot-required 這個檔案還在，就說明新核心沒有生效。重啟後再跑一次 uname -r，確認版本不低於上表。

暫時沒法升級的：Ubuntu 給的臨時規則

Ubuntu 在漏洞頁面上給了一條 nftables 規則，丟棄帶 IP 選項的傳入 IPv4 TCP 封包，重點是 ip protocol tcp ip hdrlength > 5 counter drop，放在單獨的一張表 inet cve_2026_98432 的 input 鏈上（優先順序 -310）。按 Ubuntu 的說明，它不影響時間戳記、視窗縮放這類 TCP 選項，也不影響 IPv6；網路獨立的容器要單獨加這條規則；它只能降低風險，不能完全防住利用。等核心升級並重啟後，用 sudo nft delete table inet cve_2026_98432 刪掉這張表，並把 /etc/nftables.conf 裡對應的 include 行去掉。上一篇裡提到的關閉 MPTCP 也屬於同一類臨時辦法，升完核心後是否恢復由你自己決定。

順帶提醒：20.04 的免費支援早已結束，22.04 的標準支援也只到 2027 年 4 月，升級路線見這篇。防火牆的基本設定見ufw 防火牆與 SSH 金鑰登入；如果伺服器在沒打修補程式的這段時間裡出現了異常程序或陌生登入，按入侵排查與安全加固查一遍。