11 月 7 日我们报道了 Linux 内核 TCP 握手漏洞 CVE-2026-98432（见那篇报道），当时 Debian、Red Hat、AlmaLinux 都已修复，只有 Ubuntu 还标着「work in progress」。11 月 10 日，Ubuntu 一次发布了一批内核安全公告，修复包已经进入 22.04、24.04 和 26.04 的更新源。Ubuntu 把这个漏洞的优先级定为 Critical，CVSS 评分 9.8。用 Ubuntu 的服务器现在该做的是升级内核并重启。

修复版本对照

  • 24.04（USN-9022-1）：通用内核 6.8.0-149.149，linux-aws 6.8.0-1069.74，linux-azure 6.8.0-1073.82，linux-gcp 6.8.0-1073.81，linux-oracle 6.8.0-1067.71。
  • 22.04（USN-9027-1）：通用内核 5.15.0-203.213，linux-aws 5.15.0-1120.127，linux-azure 5.15.0-1126.135，linux-gcp 5.15.0-1121.131，linux-kvm 5.15.0-1112.117。在 22.04 上跑 6.8 云内核的看 USN-9024-1，例如 linux-aws-6.8 是 6.8.0-1069.74~22.04.1。
  • 26.04（USN-9018-1）：通用内核 7.0.0-43.43，linux-aws 7.0.0-1017.18。26.10 的修复在 7.3.0-10.10。
  • 还没发布的（按 Ubuntu 页面 11 月 11 日的状态）：22.04 的 HWE 内核 linux-hwe-6.8（待发布版本 6.8.0-149.149~22.04.1）、24.04 的 linux-hwe-7.0（7.0.0-43.43~24.04.1），以及 20.04 的 5.4 内核（5.4.0-247.267，20.04 的更新只通过付费的 ESM 提供）。用这几种内核的，继续靠下面的临时规则。

升级步骤

  • 先用 uname -r 看当前内核。版本号后面的 -generic、-aws、-azure 等后缀说明你用的是哪一种内核，对照上面的表找到对应的修复版本。
  • 执行 sudo apt update && sudo apt full-upgrade 装上新内核。Ubuntu 的公告提醒，这次内核的 ABI 有变化，自己编译安装过第三方内核模块的要重新编译；用标准内核元包的系统，升级时会自动处理。
  • 装完必须重启：sudo reboot。自动更新（unattended-upgrades）默认只装包、不重启，所以「开了自动更新」不等于已经修好；/var/run/reboot-required 这个文件还在，就说明新内核没有生效。重启后再跑一次 uname -r，确认版本不低于上表。

暂时没法升级的：Ubuntu 给的临时规则

Ubuntu 在漏洞页面上给了一条 nftables 规则，丢弃带 IP 选项的入站 IPv4 TCP 包，核心是 ip protocol tcp ip hdrlength > 5 counter drop，放在单独的一张表 inet cve_2026_98432 的 input 链上（优先级 -310）。按 Ubuntu 的说明，它不影响时间戳、窗口缩放这类 TCP 选项，也不影响 IPv6；网络独立的容器要单独加这条规则；它只能降低风险，不能完全防住利用。等内核升级并重启后，用 sudo nft delete table inet cve_2026_98432 删掉这张表，并把 /etc/nftables.conf 里对应的 include 行去掉。上一篇里提到的关闭 MPTCP 也属于同一类临时办法，升完内核后是否恢复由你自己决定。

顺带提醒：20.04 的免费支持早已结束，22.04 的标准支持也只到 2027 年 4 月，升级路线见这篇。防火墙的基本配置见ufw 防火墙与 SSH 密钥登录；如果服务器在没打补丁的这段时间里出现了异常进程或陌生登录，按入侵排查与安全加固查一遍。