ثغرة لينكس الجديدة بلا تحديث رسمي في أوبونتو وRed Hat: خطوات مؤقتة تحمي خوادم شركتك حتى يصل الإصلاح

ثغرة CVE-2026-98432 خلل في طريقة استقبال نواة لينكس لطلبات اتصال TCP، يسمح لمهاجم عن بعد، دون كلمة مرور، بإسقاط الخادم أو العبث بذاكرة النواة. فريق CVE في نواة لينكس قيمها 9.8 من 10، وأعلنت Anthropic أن نموذجها Claude كتب لها استغلالا يمنح المهاجم صلاحيات root على الخوادم التي تستقبل اتصالات MPTCP. الإصلاح موجود في النواة الأصلية، وأصدرته Debian، لكن أوبونتو تقول حتى 30 أكتوبر 2026 إنه «قيد العمل» لإصداراتها 22.04 و24.04 و26.04، وRed Hat تدرج RHEL 8 و9 و10 متأثرة بلا تحديث، وتقول إنه لا يوجد حل مؤقت يرضي معاييرها. وحتى يصل التحديث: عطل MPTCP إن لم تحتجه، واحجب حزم IPv4 التي تحمل خيارات IP، وضيق من يصل إلى خوادمك، وجهز موعد إعادة التشغيل.

ما هي ثغرة CVE-2026-98432، ولماذا تهم شركتك؟

بحسب سجل CVE الرسمي، تقع الثغرة لحظة اكتمال مصافحة اتصال TCP عبر IPv4: تنقل النواة خيارات IP المحفوظة مع طلب الاتصال إلى الاتصال الجديد دون أن تنسخها، وقد يعالج معالج آخر في اللحظة نفسها طلبا مكررا ويبني ردا من تلك الخيارات. فإن حررت النواة الذاكرة أولا، عادت فقرأتها بعد تحريرها، وهو ما يسمى use-after-free. والخلل موجود منذ إصدار النواة 4.4. ونشر فريق CVE في النواة الثغرة في 15 أكتوبر 2026، وقيمها 9.8 من 10 لأنها تصل عبر الشبكة، أثناء المصافحة وقبل أي تسجيل دخول، ودون تفاعل من المستخدم.

وفي منشورها في 27 أكتوبر قالت Anthropic إن Claude كتب استغلالا يسمح لمهاجم عن بعد، دون أي بيانات دخول، بتشغيل أوامر بصلاحيات root على خوادم لينكس التي تستقبل اتصالات MPTCP، أي TCP متعدد المسارات. احتاج الاستغلال في تجربتها 48 دقيقة لكشف عنوان في ذاكرة النواة، ثم 5 دقائق للوصول إلى تنفيذ الأوامر. والأخطر أن المحاولة الفاشلة لا تسقط الخادم، بل تفشل الاتصال وحده، فيستطيع المهاجم أن يعيد المحاولة دون أن يلاحظ أحد. ولم تنشر Anthropic الاستغلال نفسه.

أما Red Hat فتصف الأثر الرئيسي بانهيار الخادم وتعطل الخدمة، مع احتمال إفساد الذاكرة. وحتى إصدار 30 أكتوبر من قائمة CISA للثغرات المستغلة فعليا، لم تضف الثغرة إليها.

هل نزل تحديث لتوزيعتك؟

هذه حالة التوزيعات كما تعرضها صفحاتها الرسمية في 30 أكتوبر 2026:

وفي النواة الأصلية صدر الإصلاح في الإصدارات 5.10.272 و5.15.223 و6.1.190 و6.6.159 و6.12.113 و6.18.56 و7.2.10 و7.3. لكن أغلب الخوادم تعمل بنواة توزيعتها، فالعبرة بصفحة توزيعتك لا برقم النواة الأصلية.

كيف تعرف إن كان خادمك معرضا؟

شغل هذه الأوامر على كل خادم لينكس يستقبل اتصالات من الإنترنت:

uname -r
cat /proc/sys/net/mptcp/enabled
ss -Mln
cat /proc/sys/net/ipv4/tcp_migrate_req

• الأمر الأول يعرض إصدار النواة، فقارنه بصفحة توزيعتك. على أوبونتو 24.04 مثلا، كل إصدار متاح اليوم بلا إصلاح.
• القيمة 1 في الأمر الثاني تعني أن MPTCP مفعل، وهذا هو الوضع الافتراضي بحسب وثائق النواة.
• الأمر الثالث يعرض الخدمات التي تستقبل اتصالات MPTCP. وإن ظهرت فيه خدمة، فهي من نوع الهدف الذي استغلته Anthropic. وانتبه لبرامج Go: بحسب ملاحظات إصدار Go 1.24 صارت تستخدم MPTCP افتراضيا حين يتوفر.
• الأمر الرابع يجب أن يعطي 0، فالمسار الثاني للثغرة لا يعمل إلا حين يكون 1، بحسب سجل CVE.

الحل المؤقت حتى يصل التحديث: 5 خطوات

1. إن كان الإصلاح متاحا لتوزيعتك فثبته الآن وأعد التشغيل. على Debian 12 و13 مثلا:

   sudo apt update && sudo apt upgrade
   sudo reboot

   فالنواة الجديدة لا تحميك قبل أن يعمل الخادم بها.
2. عطل MPTCP إن لم تحتجه أي خدمة. هذا يغلق نوع الهدف الذي استغلته Anthropic:

   sudo sysctl -w net.mptcp.enabled=0
   echo "net.mptcp.enabled = 0" | sudo tee /etc/sysctl.d/99-disable-mptcp.conf

   الأمر الأول يطبق الإعداد فورا، والثاني يبقيه بعد إعادة التشغيل. وبحسب وثائق النواة يخص هذا الإعداد كل «مساحة شبكة» على حدة، فطبقه داخل الحاويات أيضا. وبرامج Go تعود تلقائيا إلى TCP العادي حين لا يتوفر MPTCP. لكن لم تقل Anthropic ولا أي توزيعة إن تعطيله يزيل الثغرة نفسها، فهو تضييق للخطر لا علاج.
3. احجب حزم TCP التي تحمل خيارات IPv4. سيناريو التقييم في سجل CVE يفترض مهاجما يرسل طلب اتصال يحمل خيار Record Route أو Timestamp من خيارات IPv4، وحركة الويب والبريد وSSH العادية لا تحتاج هذه الخيارات. اطلب من مسؤول الشبكة قاعدة في الجدار الناري تسقط حزم TCP الواردة التي يزيد رأس IPv4 فيها على 20 بايت، وجربها على خادم واحد أولا. لم تقل أي توزيعة إن هذا يمنع الثغرة، لكنه يزيل الشرط الذي يفترضه التقييم.
4. ضيق من يصل إلى خوادمك. الثغرة تحتاج منفذ TCP مفتوحا يستقبل الاتصالات، فأغلق كل منفذ لا تحتاجه، واجعل SSH ولوحات الإدارة متاحة لعناوين IP محددة أو عبر VPN. وإن كان موقعك خلف خدمة وسيطة مثل CDN، فاجعل الخادم الأصلي يستقبل الاتصالات من عناوين تلك الخدمة وحدها.
5. جهز التحديث قبل وصوله. تابع صفحتي الثغرة في أوبونتو وRed Hat، ووافق مسبقا على تحديث النواة، وحدد موعد إعادة التشغيل، حتى تثبت الإصلاح يوم صدوره. وراقب سجل النواة بحثا عن انهيارات تذكر ip_options_build:

   sudo journalctl -k | grep -i ip_options_build

   لكن السجل الهادئ لا يعني الأمان، فالمحاولة الفاشلة لا تسقط الخادم.

وإن كانت خوادمك عند مزود استضافة؟

في الاستضافة المشتركة والخدمات المدارة، النواة بيد المزود لا بيدك. اسأله ثلاثة أسئلة: ما توزيعة خوادمه وإصدار نواتها، ومتى يثبت الإصلاح، وماذا فعل لتقليل الخطر حتى يصدر. أما الخادم الافتراضي الخاص (VPS) فنواته غالبا بيدك، فطبق عليه الخطوات السابقة بنفسك.

نظرة أوريجامي

كما في مقالنا عن ثغرات PHP، حين يتأخر التحديث الرسمي تصبح الخطوات المؤقتة هي ما يحمي خوادمك في الأيام الأولى. لكنها تضييق للخطر، والعلاج الوحيد هو النواة المصلحة بعد إعادة التشغيل. نستطيع في أوريجامي فحص خوادم لينكس لديك، وتطبيق الخطوات المؤقتة دون تعطيل خدماتك، وتثبيت الإصلاح فور صدوره. تواصل معنا.

الخلاصة

• CVE-2026-98432 ثغرة في نواة لينكس قيمها فريق النواة 9.8 من 10، وتهاجم الخادم عن بعد أثناء مصافحة TCP قبل أي تسجيل دخول.
• الإصلاح صدر في Debian، ولم يصدر في أوبونتو وRed Hat حتى 30 أكتوبر 2026.
• حتى يصدر: عطل MPTCP إن لم تحتجه، واحجب حزم TCP ذات خيارات IPv4، وأغلق المنافذ غير اللازمة.
• ثبت النواة المصلحة فور صدورها وأعد التشغيل، فالخطوات المؤقتة لا تغني عنها.

المصادر

• CVE.org: سجل CVE-2026-98432
• Ubuntu: حالة CVE-2026-98432
• Red Hat: CVE-2026-98432
• Debian Security Tracker: CVE-2026-98432
• Anthropic: اكتشاف الثغرات واستغلالها مع Claude، 27 أكتوبر 2026
• CISA: قائمة الثغرات المستغلة فعليا
• وثائق نواة لينكس: إعدادات MPTCP
• Go 1.24: ملاحظات الإصدار
• Go: ListenConfig.SetMultipathTCP