CVE-2026-98432 是 Linux 内核接受 TCP 连接请求方式中的一个漏洞。它允许远程攻击者在没有密码的情况下让服务器崩溃，或破坏内核内存。Linux 内核 CVE 团队将其评为 9.8 分（满分 10 分），Anthropic 则表示，其 Claude 模型编写了一个漏洞利用程序，可以让攻击者在接受 MPTCP 连接的服务器上获得 root 权限。修复已进入上游内核，Debian 也已发布，但截至 2026年10月30日，Ubuntu 仍将 22.04、24.04 和 26.04 的修复标为 "work in progress"（正在进行），Red Hat 则将 RHEL 8、9 和 10 列为受影响且没有更新。在更新到来之前：如果不需要 MPTCP 就将其禁用，屏蔽携带 IP 选项的 IPv4 数据包，限制谁能访问您的服务器，并安排好重启。

什么是 CVE-2026-98432，它为什么关系到您的公司？

根据官方 CVE 记录，漏洞出现在 IPv4 TCP 握手完成的那一刻：内核把随连接请求一起保存的 IP 选项直接交给新连接，而没有复制它们；与此同时，另一个 CPU 可能正在处理一个重复的请求，并用这些选项构建回复。如果内核先释放了这块内存，随后又在释放后读取它，这就是所谓的 use-after-free 错误。该漏洞自 4.4 版内核起就已存在。内核 CVE 团队于 2026年10月15日公布了它，并给出 9.8 分（满分 10 分），因为它可以通过网络触达，发生在握手期间、任何登录之前，且不需要用户进行任何操作。

在10月27日发布的文章中，Anthropic 表示 Claude 编写了一个漏洞利用程序，可以让没有任何凭据的远程攻击者在接受 MPTCP（即多路径 TCP）连接的 Linux 服务器上以 root 身份执行命令。在其测试中，该程序用了 48 分钟从内核内存中泄露出一个地址，然后再用 5 分钟实现命令执行。更糟糕的是，失败的尝试不会让服务器崩溃，只有那一个连接会失败，因此攻击者可以不断重试而不被任何人察觉。Anthropic 没有公开该漏洞利用程序本身。

Red Hat 将主要影响描述为服务器崩溃和拒绝服务，并可能造成内存损坏。在 10月30日版本的 CISA 已知被利用漏洞目录中，这个漏洞尚未被收录。

您的发行版收到更新了吗？

以下是 2026年10月30日各发行版官方页面上显示的状态：

发行版状态
Ubuntu 22.04、24.04、26.04 和 26.10存在漏洞，修复 "work in progress"（正在进行）；24.04 的修复在内核 6.8.0-149 中（Ubuntu 页面）
Ubuntu 16.04、18.04 和 20.04存在漏洞
Red Hat Enterprise Linux 8、9 和 10受影响，尚未发布更新（Red Hat 页面）
Red Hat Enterprise Linux 6 和 7不受影响
Debian 12 和 13已在 6.1.190-1 和 6.12.113-1 中修复（Debian 跟踪页面）

在上游内核中，修复已随 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10 和 7.3 版本发布。但大多数服务器运行的是其发行版的内核，所以真正要看的是您所用发行版的页面，而不是上游版本号。

如何判断服务器是否暴露？

在每台接受来自互联网连接的 Linux 服务器上运行以下命令：

uname -r
cat /proc/sys/net/mptcp/enabled
ss -Mln
cat /proc/sys/net/ipv4/tcp_migrate_req
  • 第一条显示内核版本，请将其与您所用发行版的页面对照。例如在 Ubuntu 24.04 上，目前所有可用版本都尚未修复。
  • 第二条如果输出 1，说明 MPTCP 已启用；根据内核文档，这正是默认设置。
  • 第三条列出接受 MPTCP 连接的服务。出现在列表中的任何服务，都是 Anthropic 所利用的那类目标。请留意用 Go 编写的程序：根据 Go 1.24 发布说明，在支持的环境中，它们的监听器现在默认使用 MPTCP。
  • 第四条应输出 0；根据 CVE 记录，漏洞的第二条路径只有在该值为 1 时才会生效。

更新到来之前的临时方案：5 个步骤

  1. 如果您的发行版已有修复，现在就安装并重启。 以 Debian 12 和 13 为例：
    sudo apt update && sudo apt upgrade
sudo reboot
    在服务器真正运行新内核之前，新内核并不能保护您。
  2. 如果没有服务需要 MPTCP，就将其禁用。 这样可以堵住 Anthropic 所利用的那类目标：
    sudo sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" | sudo tee /etc/sysctl.d/99-disable-mptcp.conf
    第一条命令立即应用该设置，第二条让它在重启后依然有效。内核文档指出，这项设置按网络命名空间分别生效，因此在容器内也要应用。当 MPTCP 不可用时，Go 程序会自动回退到普通 TCP。但无论 Anthropic 还是任何发行版都没有说禁用它就能消除漏洞本身，所以这只能缩小风险，而不能根治。
  3. 屏蔽携带 IPv4 选项的 TCP 数据包。 CVE 记录中的评分场景假设攻击者发送一个带有 IPv4 Record Route 或 Timestamp 选项的连接请求，而普通的网页、邮件和 SSH 流量并不需要这些选项。请网络管理员添加一条防火墙规则，丢弃 IPv4 头部长度超过 20 字节的入站 TCP 数据包，并先在一台服务器上测试。没有任何发行版说这能挡住该漏洞，但它消除了评分所假设的条件。
  4. 限制谁能访问您的服务器。 该漏洞需要一个接受连接的开放 TCP 端口，因此请关闭所有不需要的端口，并让 SSH 和管理面板只能从指定的 IP 地址或通过 VPN 访问。如果网站位于 CDN 之类的中间服务之后，请让源服务器只接受来自该服务地址的连接。
  5. 在更新到来之前做好准备。 关注 Ubuntu 和 Red Hat 关于这个 CVE 的页面，提前批准内核更新并定好重启时间窗口，这样修复发布当天就能装上。在内核日志中留意提到 ip_options_build 的崩溃：
    sudo journalctl -k | grep -i ip_options_build
    不过，日志平静并不代表安全，因为失败的尝试不会让服务器崩溃。

如果您的服务器托管在服务商那里呢？

在共享主机和托管服务中，内核属于服务商，而不属于您。请问他们三个问题：其服务器运行的是哪个发行版和哪个内核版本，何时安装修复，以及在此之前采取了哪些措施来降低风险。虚拟专用服务器（VPS）通常由您自己掌控内核，所以请亲自执行上面的步骤。

Origami 的看法

正如我们在关于 PHP 漏洞的文章中所说，当官方更新迟迟未到时，在最初几天保护服务器的正是这些临时措施。但它们只能缩小风险；唯一的根治办法是重启后运行已修复的内核。Origami 可以检查您的 Linux 服务器，在不中断服务的情况下实施临时措施，并在修复发布后第一时间安装。联系我们。

要点

  • CVE-2026-98432 是一个被内核团队评为 9.8 分（满分 10 分）的 Linux 内核漏洞，攻击者可以在 TCP 握手期间、任何登录之前远程攻击服务器。
  • Debian 已发布修复；截至 2026年10月30日，Ubuntu 和 Red Hat 仍未发布。
  • 在它们发布之前：如果不需要 MPTCP 就将其禁用，屏蔽带 IPv4 选项的 TCP 数据包，并关闭不用的端口。
  • 修复发布后立即安装已修复的内核并重启；临时措施不能替代它。

资料来源