Inferno Solutions Хостинг

Удалённый злоумышленник без учётных данных может уронить необновлённый сервер через любой открытый IPv4 TCP-порт. Red Hat предупреждает, что уязвимость может привести и к удалённому выполнению кода. Anthropic описала эксплойт, который получает root на серверах с листенером Multipath TCP (MPTCP).

Затронуты Linux-серверы с ядром 4.4 и новее, то есть практически все. У VPS на KVM собственное ядро, независимое от нашего хоста: обновлять его и перезагружаться нужно внутри VPS.
Не затронуты: RHEL 7, CentOS 7, CloudLinux 7 (не гибридный), Windows, FreeBSD и другие не-Linux системы.

Реальных атак на 2 ноября не зафиксировано, но исправление публично и доступно для анализа.

Что сделать:

• Исправление вышло: Debian 12/13, RHEL 8/9/10, AlmaLinux 8, SLES 16.0, openSUSE Leap 16.0, SLES 15 SP4/SP5/SP6 LTSS, Proxmox VE. Сделайте бэкап, обновите ядро и перезагрузитесь. Новое ядро защищает только после перезагрузки
• Исправление в тестировании или раскатывается: AlmaLinux 9/10, CloudLinux 7h/8/9/10, SLES 15 SP7. Примените временную защиту и обновитесь после выхода в стабильный репозиторий
• Исправления пока нет: Ubuntu 26.10/26.04/24.04/22.04, Rocky Linux 8/9/10. Ubuntu 20.04/18.04/16.04: только через Ubuntu Pro / ESM, сроков нет. Debian 11 и старше: только платная LTS. CentOS 8 / Stream 8 и другие снятые с поддержки версии: исправления не будет, переходите на поддерживаемую версию. Примените временную защиту сейчас

Как обновить ядро:
Debian 12/13, Ubuntu (после выхода исправления), Proxmox VE:

sudo apt update && sudo apt full-upgrade
sudo reboot

RHEL 8/9/10, AlmaLinux, Rocky Linux, CloudLinux:

sudo dnf --refresh updateinfo info --cves CVE-2026-98432
sudo dnf update 'kernel*'
sudo reboot

openSUSE / SLES:

sudo zypper refresh && sudo zypper patch && sudo reboot

Временная защита:
Отбрасывайте входящие IPv4 TCP-пакеты с IP-опциями, обычный трафик их не использует. Правило опубликовал Red Hat (RHSB-2026-016), он советует сначала проверить его на вашем трафике. Создайте каталог:

sudo mkdir -p /etc/nftables.d

Сохраните правило в /etc/nftables.d/cve-2026-98432.nft:

table inet cve_2026_98432 {
    chain input {
        type filter hook input priority -310; policy accept;
        ip protocol tcp ip hdrlength > 5 counter drop
    }
}

Загрузите и проверьте:

sudo nft --check --file /etc/nftables.d/cve-2026-98432.nft
sudo nft --file /etc/nftables.d/cve-2026-98432.nft
sudo nft list table inet cve_2026_98432

Если сервер маршрутизирует трафик в Docker или LXC, замените хук на prerouting. Не применяйте фильтр в сетях с метками безопасности CIPSO / NetLabel
Чтобы правило сохранилось после перезагрузки, добавьте строку include "/etc/nftables.d/cve-2026-98432.nft" в /etc/nftables.conf (Debian/Ubuntu) или /etc/sysconfig/nftables.conf (семейство RHEL) и выполните sudo systemctl enable nftables
На системах только с iptables:

sudo iptables -t raw -I PREROUTING -p tcp -m u32 --u32 "0>>24&0x0F=6:15" -j DROP

Отключите Multipath TCP, если он не нужен:

sudo sysctl -w net.mptcp.enabled=0
echo 'net.mptcp.enabled = 0' | sudo tee /etc/sysctl.d/99-cve-2026-98432.conf

Затем перезапускайте сервисы, которые показывает эта команда, пока её вывод не станет пустым:

sudo ss -lnMp

Это сужает атаку, но не устраняет уязвимость: ошибка не специфична для MPTCP

Временная защита снижает риск, но не заменяет обновление ядра.

Бюллетень Red Hat: access.redhat.com/security/vulnerabilities/RHSB-2026-016
Статус исправления для Ubuntu: ubuntu.com/security/CVE-2026-98432
Нужна помощь? Напишите нам: ishosting.io/ru/support