Техника и безопасность · · 7 мин. чтения · Автор: Alexander
Критическая уязвимость Linux TCP: что сейчас делать владельцам сайтов?
CVE-2026-98432 затрагивает обработку TCP в ядре Linux — основе операционной системы. Linux-CNA и Red Hat оценивают уязвимость как критическую: 9,8 из 10 баллов по CVSS 3.1. Попросите хостинг-провайдера подтвердить исправленную версию пакета и активацию исправления в работающем ядре. Состояние исследования: 3 ноября 2026 года.
Что произошло в Linux?
CVE-2026-98432 — это уязвимость use-after-free: ядро может слишком рано освободить память для определённых опций IPv4, пока другой процесс всё ещё обращается к ней. Затронуто установление TCP-соединения. Исправление upstream датировано 5 октября 2026 года; запись Linux-CNA опубликована 15 октября и обновлена 3 ноября.
Для эксплуатации необходимы доступная служба IPv4 TCP, ожидающая соединений, и специально сформированные SYN-пакеты с опциями IPv4 Record Route или Timestamp. Эти IP-опции не являются обычными временными метками TCP. Эксплуатация основана на конкурирующих процессах установления соединения и повторной передачи. Вход в систему, локальные права или нажатие со стороны владельца не требуются: обработка происходит в ядре до аутентификации в приложении. Обычное посещение сайта не является подтверждённым способом запуска уязвимости.
«StackWarp» — это другой исследовательский проект, посвящённый виртуализации AMD-SEV и CVE-2025-29943. Для рассматриваемой здесь уязвимости TCP используйте идентификатор CVE-2026-98432.
Насколько в действительности опасна CVE-2026-98432?
Возможные последствия включают сбой ядра, утечку информации и, при подходящих условиях, выполнение стороннего кода в контексте ядра, то есть с наивысшими системными правами. Для надёжного удалённого выполнения кода (RCE) необходимы дополнительные условия эксплуатации. Оценка 9,8 присвоена Linux-CNA и Red Hat. SUSE оценивает ту же CVE в 8,1 по CVSS 3.1, исходя из более высокой сложности атаки, а также в 9,2 по CVSS 4.0. Следует различать версии и допущения, лежащие в основе оценок.
27 октября Anthropic задокументировала успешную RCE с правами root в исследовательской среде с MPTCP-listener. По данным Red Hat, основная уязвимость существует и без MPTCP. Исследовательское доказательство не подтверждает возможность надёжной атаки на любой обычный веб-сервер. Само по себе сканирование или попытка атаки также не подтверждают успешный взлом.
В проанализированных первичных источниках по состоянию на 3 ноября 2026 года нет надёжного подтверждения активной эксплуатации. Эта CVE отсутствует в проверенной версии каталога CISA известных эксплуатируемых уязвимостей от 30 октября 2026 года. Эти сведения не доказывают ни отсутствие атак, ни защищённость Вашего сервера.
Какие версии ядра исправляют эту уязвимость?
В следующем списке приведены первые исправленные upstream-версии по данным Linux-CNA. Его нельзя напрямую применять к ядрам дистрибутивов: производители могут переносить исправления в пакеты с более старым номером базовой версии. Решающее значение имеют ветка продукта, полная версия пакета и advisory производителя.
1 ноября Red Hat выпустила исправленные пакеты: для RHEL 8.10 — `kernel-4.18.0-553.182.1.el8_10`, для RHEL 9.8 — `kernel-5.14.0-687.64.1.el9_8`, а для RHEL 10.2 — `kernel-6.12.0-211.72.1.el10_2`. По данным Red Hat, RHEL 7 не затронут, поскольку не содержит уязвимого кода; это ничего не говорит о его общем состоянии безопасности.
Debian подтверждает обновления безопасности для Debian 12 (`linux`: `6.1.190-1`; `linux-6.12`: `6.12.113-1~deb12u1`) и Debian 13 (`linux`: первое исправление `6.12.113-1`). Для Ubuntu 22.04, 24.04 и 26.04 целевые пакеты универсальных ядер доступны в тестовом канале `-proposed`, но общее стабильное обновление здесь не подтверждено. Для Ubuntu 26.10 расхождение между блогом и более новым трекером остаётся неразрешённым. Попросите проверить конкретное имя пакета и ветку.
- Upstream 5.10: исправлено начиная с 5.10.272
- Upstream 5.15: исправлено начиная с 5.15.223
- Upstream 6.1: исправлено начиная с 6.1.190
- Upstream 6.6: исправлено начиная с 6.6.159
- Upstream 6.12: исправлено начиная с 6.12.113
- Upstream 6.18: исправлено начиная с 6.18.56
- Upstream 7.2: исправлено начиная с 7.2.10; исправление mainline в 7.3
Отсутствие более старых upstream-веток в списке не означает, что они безопасны; для их поддержки требуется отдельное подтверждение производителя. Облачные, real-time, HWE, FIPS и другие специальные ядра необходимо проверять отдельно.
Как проверить, затронут ли Ваш сайт?
Решающее значение имеет ядро, на котором работает сайт. AWS прямо относит образы WordPress, LAMP и Plesk к случаям, требующим проверки. Проверка версий WordPress, плагинов, nginx или Apache не заменяет проверку ядра.
При shared- или managed-хостинге попросите провайдера указать операционную систему и состояние её обслуживания. Для самостоятельно управляемых VPS или облачных серверов проверку должны выполнить Вы или Ваш администратор. Контейнеры Docker используют ядро хоста; новый контейнер его не исправляет. Виртуальные машины имеют собственные ядра: при необходимости хост и гостевую систему следует проверять отдельно.
С помощью `uname -r` администраторы определяют работающее ядро. Кроме того, им необходимо установить полную версию пакета: в Debian/Ubuntu с помощью `dpkg-query`, в RPM-системах с помощью `rpm -q`. В Debian при сопоставлении с advisory дополнительно помогает версия пакета исходного кода. Сохраните суффикс дистрибутива и имя пакета; отсутствие найденного пакета не означает, что система безопасна. Сам по себе установленный пакет не подтверждает, что исправление активно.
Функция системного обновления Plesk исключает пакеты ядра. Поэтому статуса «Актуально» в панели недостаточно. Общий Security Advisor в cPanel также не является подтверждением для конкретной CVE. Если Ваши права ограничены, привлеките провайдера.
Что написать хостинг-провайдеру?
Добавьте домен или номер клиента и отправьте следующий запрос:
«Здравствуйте! Затронуто ли ядро Linux моего хостинга или сервера уязвимостью CVE-2026-98432? Укажите, пожалуйста, дистрибутив, ветку ядра, полную версию исправленного пакета, фактически работающее ядро и соответствующий advisory производителя. Активировано ли исправление после перезагрузки или с помощью загруженного livepatch, подходящего для этой CVE? При необходимости учтите хост виртуализации, гостевую VM и ядро хоста контейнеров. Если исправление ещё не выполнено: какая документированная производителем временная мера активна, какие у неё ограничения и когда состоятся обновление и необходимое окно обслуживания? Укажите, пожалуйста, дату проверки в ответе».
Red Hat, SUSE, Canonical и AlmaLinux указывают, что для описанных обновлений ядра необходима перезагрузка. Livepatch может быть альтернативой только при наличии подтверждения для этой CVE и работающего ядра. В ходе исследования не было найдено подтверждения соответствующего Ubuntu Livepatch или Red Hat kpatch; зелёного статуса службы недостаточно.
Что делать, если ядро нельзя обновить немедленно?
Приоритет имеет одобренное производителем обновление. Согласуйте окно обслуживания. Попросите установить подходящий пакет, а после необходимой перезагрузки снова проверить работающее ядро и сопоставить его с исправленным пакетом.
Red Hat документирует фильтр для TCP-трафика с опциями IPv4. Он уменьшает поверхность атаки, но прямо указано, что он не предотвращает атаки полностью. Пространства имён сети, контейнеры и фактические маршруты пакетов могут ограничить его действие. Администратор должен проверить правило производителя с учётом конкретной среды; оно не заменяет обновление. По данным Canonical, одного отключения MPTCP недостаточно.
В проанализированных первичных источниках нет подтверждения того, что Cloudflare или Web Application Firewall (WAF) обеспечивает комплексную защиту от этой CVE. Ошибка затрагивает сетевой уровень и уровень ядра. Если невозможно ни обновление, ни эффективное ограничение доступности, последней мерой остаются временная изоляция или отключение, которые необходимо согласовать с владельцем.
Частые вопросы об уязвимости Linux TCP
Достаточно ли актуальных плагинов WordPress?
Нет. Обновления плагинов не подтверждают, что работающее ядро исправлено. Попросите подтвердить его статус в отношении CVE-2026-98432.
Защищает ли Cloudflare Ваш сайт?
Проанализированные источники не подтверждают комплексную защиту от этой CVE. Попросите проверить ядро и обновить его, если оно затронуто.
Затрагивает ли уязвимость статический сайт?
Если он размещён на уязвимой системе Linux с доступной службой IPv4 TCP, ядро также необходимо проверить. Тип предоставляемого контента не определяет, затронута ли система.
Доказывает ли оценка 9,8 по CVSS 3.1 факт взлома?
Нет. Оценка описывает техническую серьёзность при определённых допущениях. Исследовательская RCE и возможная эксплуатация не доказывают взлом Вашего сервера.
Становится ли новое установленное ядро активным автоматически?
Нет. Необходимо получить подтверждение активации посредством требуемой перезагрузки или загруженного livepatch, который доказанно подходит для этой CVE.
Нужно ли Вам самостоятельно выполнять серверные команды?
При shared- или managed-хостинге отправьте запрос хостинг-провайдеру. Для самостоятельно управляемых серверов следует поручить администратору сопоставить версию пакета, работающее ядро и advisory производителя.