CVE-2026-98432 ialah kelemahan dalam cara kernel Linux menerima permintaan sambungan TCP. Ia membolehkan penyerang dari jauh, tanpa kata laluan, menyebabkan pelayan ranap atau merosakkan memori kernel. Pasukan CVE kernel Linux memberinya skor 9.8 daripada 10, dan Anthropic menyatakan bahawa model Claude miliknya menulis eksploit yang memberikan akses root kepada penyerang pada pelayan yang menerima sambungan MPTCP. Pembaikannya sudah ada dalam kernel utama dan Debian telah mengeluarkannya, tetapi setakat 30 Oktober 2026 Ubuntu menyenaraikannya sebagai "work in progress" (sedang diusahakan) untuk 22.04, 24.04 dan 26.04, manakala Red Hat menyenaraikan RHEL 8, 9 dan 10 sebagai terjejas tanpa kemas kini. Sehingga kemas kini tiba: matikan MPTCP jika anda tidak memerlukannya, sekat paket IPv4 yang membawa pilihan IP, hadkan pihak yang boleh mencapai pelayan anda, dan jadualkan but semula.

Apakah CVE-2026-98432, dan mengapa ia penting kepada syarikat anda?

Menurut rekod CVE rasmi, kelemahan ini berlaku pada saat jabat tangan TCP melalui IPv4 selesai: kernel menyerahkan pilihan IP yang disimpan bersama permintaan sambungan kepada sambungan baharu tanpa menyalinnya, sedangkan CPU lain pada saat yang sama mungkin memproses permintaan pendua dan membina balasan daripada pilihan tersebut. Jika kernel membebaskan memori itu terlebih dahulu, ia kemudian membacanya selepas dibebaskan, iaitu pepijat yang dikenali sebagai use-after-free. Kelemahan ini wujud sejak kernel 4.4. Pasukan CVE kernel menerbitkannya pada 15 Oktober 2026 dan memberinya skor 9.8 daripada 10 kerana ia boleh dicapai melalui rangkaian, semasa jabat tangan dan sebelum sebarang log masuk, tanpa sebarang tindakan pengguna.

Dalam hantaran pada 27 Oktober, Anthropic menyatakan bahawa Claude menulis eksploit yang membolehkan penyerang dari jauh tanpa sebarang bukti kelayakan menjalankan arahan sebagai root pada pelayan Linux yang menerima sambungan MPTCP, iaitu TCP berbilang laluan. Dalam ujiannya, eksploit itu mengambil masa 48 minit untuk membocorkan satu alamat daripada memori kernel, kemudian 5 minit untuk mencapai pelaksanaan arahan. Lebih teruk lagi, cubaan yang gagal tidak menyebabkan pelayan ranap; hanya sambungan itu yang gagal, jadi penyerang boleh terus mencuba tanpa disedari sesiapa. Anthropic tidak menerbitkan eksploit itu sendiri.

Red Hat menyifatkan kesan utamanya sebagai pelayan ranap dan penafian perkhidmatan, dengan kemungkinan kerosakan memori. Setakat keluaran 30 Oktober katalog kelemahan yang diketahui telah dieksploitasi oleh CISA, kelemahan ini belum disenaraikan.

Adakah kemas kini sudah sampai kepada distribusi anda?

Berikut ialah status yang dipaparkan pada halaman rasmi setiap distribusi pada 30 Oktober 2026:

DistribusiStatus
Ubuntu 22.04, 24.04, 26.04 dan 26.10Terdedah, pembaikan "work in progress" (sedang diusahakan); untuk 24.04 dalam kernel 6.8.0-149 (halaman Ubuntu)
Ubuntu 16.04, 18.04 dan 20.04Terdedah
Red Hat Enterprise Linux 8, 9 dan 10Terjejas, tiada kemas kini dikeluarkan (halaman Red Hat)
Red Hat Enterprise Linux 6 dan 7Tidak terjejas
Debian 12 dan 13Dibaiki dalam 6.1.190-1 dan 6.12.113-1 (penjejak Debian)

Dalam kernel utama, pembaikannya dikeluarkan dalam versi 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 dan 7.3. Namun kebanyakan pelayan menjalankan kernel daripada distribusi masing-masing, jadi yang penting ialah halaman distribusi anda, bukan nombor versi kernel utama.

Bagaimana mengetahui sama ada pelayan terdedah?

Jalankan arahan berikut pada setiap pelayan Linux yang menerima sambungan dari internet:

uname -r
cat /proc/sys/net/mptcp/enabled
ss -Mln
cat /proc/sys/net/ipv4/tcp_migrate_req
  • Arahan pertama memaparkan versi kernel; bandingkan dengan halaman distribusi anda. Pada Ubuntu 24.04, sebagai contoh, setiap versi yang tersedia hari ini masih belum dibaiki.
  • Nilai 1 daripada arahan kedua bermaksud MPTCP dihidupkan, iaitu tetapan lalai menurut dokumentasi kernel.
  • Arahan ketiga menyenaraikan perkhidmatan yang menerima sambungan MPTCP. Mana-mana perkhidmatan yang muncul ialah jenis sasaran yang dieksploitasi oleh Anthropic. Berhati-hati dengan program yang ditulis dalam Go: menurut nota keluaran Go 1.24, pendengar program tersebut kini menggunakan MPTCP secara lalai jika ia disokong.
  • Arahan keempat sepatutnya memaparkan 0; menurut rekod CVE, laluan kedua kelemahan ini hanya berfungsi apabila nilainya 1.

Penyelesaian sementara sehingga kemas kini tiba: 5 langkah

  1. Jika distribusi anda sudah mempunyai pembaikannya, pasang sekarang dan but semula. Sebagai contoh, pada Debian 12 dan 13: 
    sudo apt update && sudo apt upgrade
sudo reboot
    Kernel baharu tidak melindungi anda sehingga pelayan benar-benar berjalan dengannya.
  2. Matikan MPTCP jika tiada perkhidmatan yang memerlukannya. Langkah ini menutup jenis sasaran yang dieksploitasi oleh Anthropic: 
    sudo sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" | sudo tee /etc/sysctl.d/99-disable-mptcp.conf
    Arahan pertama menggunakan tetapan itu serta-merta; arahan kedua mengekalkannya selepas but semula. Dokumentasi kernel menyatakan bahawa tetapan ini berkuat kuasa bagi setiap ruang nama rangkaian, jadi gunakannya juga di dalam kontena. Program Go kembali secara automatik kepada TCP biasa apabila MPTCP tidak tersedia. Namun Anthropic mahupun mana-mana distribusi tidak mengatakan bahawa mematikannya menghapuskan kelemahan itu sendiri, jadi langkah ini mengecilkan risiko dan bukannya merawatnya.
  3. Sekat paket TCP yang membawa pilihan IPv4. Senario pemarkahan dalam rekod CVE mengandaikan penyerang yang menghantar permintaan sambungan dengan pilihan IPv4 Record Route atau Timestamp, sedangkan trafik web, e-mel dan SSH biasa tidak memerlukan pilihan tersebut. Minta pentadbir rangkaian anda membuat peraturan tembok api yang membuang paket TCP masuk yang pengepala IPv4nya melebihi 20 bait, dan uji dahulu pada satu pelayan. Tiada distribusi yang mengatakan langkah ini menyekat kelemahan tersebut, tetapi ia menghapuskan keadaan yang diandaikan oleh pemarkahan.
  4. Hadkan pihak yang boleh mencapai pelayan anda. Kelemahan ini memerlukan port TCP terbuka yang menerima sambungan, jadi tutup setiap port yang anda tidak perlukan, dan biarkan SSH serta panel pentadbir hanya boleh dicapai dari alamat IP tertentu atau melalui VPN. Jika laman web berada di belakang perantara seperti CDN, benarkan pelayan asal menerima sambungan hanya daripada alamat perkhidmatan tersebut.
  5. Sediakan kemas kini sebelum ia tiba. Ikuti halaman Ubuntu dan Red Hat bagi CVE ini, luluskan kemas kini kernel lebih awal dan tetapkan tempoh but semula, supaya pembaikan dipasang pada hari ia dikeluarkan. Pantau log kernel untuk mengesan ranap yang menyebut ip_options_build: 
    sudo journalctl -k | grep -i ip_options_build
    Namun log yang sunyi tidak bermakna anda selamat, kerana cubaan yang gagal tidak menyebabkan pelayan ranap.

Bagaimana jika pelayan anda berada di penyedia pengehosan?

Dalam pengehosan kongsi dan perkhidmatan terurus, kernel adalah milik penyedia, bukan milik anda. Kemukakan tiga soalan: distribusi dan versi kernel apakah yang digunakan oleh pelayan mereka, bilakah mereka akan memasang pembaikan, dan apakah yang mereka lakukan untuk mengurangkan risiko sehingga itu. Pelayan peribadi maya (VPS) lazimnya meletakkan kernel di tangan anda, jadi laksanakan sendiri langkah-langkah di atas.

Pandangan Origami

Seperti dalam artikel kami tentang kelemahan PHP, apabila kemas kini rasmi lewat, langkah sementara inilah yang melindungi pelayan pada hari-hari pertama. Namun langkah itu hanya mengecilkan risiko; satu-satunya penawar ialah kernel yang telah dibaiki selepas but semula. Di Origami, kami boleh menyemak pelayan Linux anda, melaksanakan langkah sementara tanpa mengganggu perkhidmatan anda, dan memasang pembaikan sebaik sahaja ia dikeluarkan. Hubungi kami.

Perkara utama

  • CVE-2026-98432 ialah kelemahan kernel Linux dengan skor 9.8 daripada 10 daripada pasukan kernel, yang menyerang pelayan dari jauh semasa jabat tangan TCP, sebelum sebarang log masuk.
  • Debian telah mengeluarkan pembaikannya; Ubuntu dan Red Hat masih belum berbuat demikian setakat 30 Oktober 2026.
  • Sehingga mereka berbuat demikian: matikan MPTCP jika anda tidak memerlukannya, sekat paket TCP yang membawa pilihan IPv4, dan tutup port yang tidak anda gunakan.
  • Pasang kernel yang telah dibaiki sebaik sahaja ia dikeluarkan dan but semula; langkah sementara tidak dapat menggantikannya.

Sumber