# Критическая уязвимость Linux TCP: что сейчас делать владельцам сайтов? > CVE-2026-98432 затрагивает ядро Linux и имеет оценку CVSS 3.1 в 9,8 балла. Попросите хостинг-провайдера проверить полную версию пакета и подтвердить, что исправление активно. - Quelle: https://bezahlbare-webseite.de/ru/ratgeber/linux-kernel-tcp-rce-was-tun/ - Datum: 2026-11-03 - Sprache: ru - Thema: Technik & Sicherheit CVE-2026-98432 затрагивает обработку TCP в ядре Linux — основе операционной системы. Linux-CNA и Red Hat оценивают уязвимость как критическую: 9,8 из 10 баллов по CVSS 3.1. Попросите хостинг-провайдера подтвердить исправленную версию пакета и активацию исправления в работающем ядре. Состояние исследования: 3 ноября 2026 года. ## Что произошло в Linux? CVE-2026-98432 — это уязвимость use-after-free: ядро может слишком рано освободить память для определённых опций IPv4, пока другой процесс всё ещё обращается к ней. Затронуто установление TCP-соединения. Исправление upstream датировано 5 октября 2026 года; запись Linux-CNA опубликована 15 октября и обновлена 3 ноября. Для эксплуатации необходимы доступная служба IPv4 TCP, ожидающая соединений, и специально сформированные SYN-пакеты с опциями IPv4 Record Route или Timestamp. Эти IP-опции не являются обычными временными метками TCP. Эксплуатация основана на конкурирующих процессах установления соединения и повторной передачи. Вход в систему, локальные права или нажатие со стороны владельца не требуются: обработка происходит в ядре до аутентификации в приложении. Обычное посещение сайта не является подтверждённым способом запуска уязвимости. «StackWarp» — это другой исследовательский проект, посвящённый виртуализации AMD-SEV и CVE-2025-29943. Для рассматриваемой здесь уязвимости TCP используйте идентификатор CVE-2026-98432. ## Насколько в действительности опасна CVE-2026-98432? Возможные последствия включают сбой ядра, утечку информации и, при подходящих условиях, выполнение стороннего кода в контексте ядра, то есть с наивысшими системными правами. Для надёжного удалённого выполнения кода (RCE) необходимы дополнительные условия эксплуатации. Оценка 9,8 присвоена Linux-CNA и Red Hat. SUSE оценивает ту же CVE в 8,1 по CVSS 3.1, исходя из более высокой сложности атаки, а также в 9,2 по CVSS 4.0. Следует различать версии и допущения, лежащие в основе оценок. 27 октября Anthropic задокументировала успешную RCE с правами root в исследовательской среде с MPTCP-listener. По данным Red Hat, основная уязвимость существует и без MPTCP. Исследовательское доказательство не подтверждает возможность надёжной атаки на любой обычный веб-сервер. Само по себе сканирование или попытка атаки также не подтверждают успешный взлом. В проанализированных первичных источниках по состоянию на 3 ноября 2026 года нет надёжного подтверждения активной эксплуатации. Эта CVE отсутствует в проверенной версии каталога CISA известных эксплуатируемых уязвимостей от 30 октября 2026 года. Эти сведения не доказывают ни отсутствие атак, ни защищённость Вашего сервера. ## Какие версии ядра исправляют эту уязвимость? В следующем списке приведены первые исправленные upstream-версии по данным Linux-CNA. Его нельзя напрямую применять к ядрам дистрибутивов: производители могут переносить исправления в пакеты с более старым номером базовой версии. Решающее значение имеют ветка продукта, полная версия пакета и advisory производителя. 1 ноября Red Hat выпустила исправленные пакеты: для RHEL 8.10 — `kernel-4.18.0-553.182.1.el8_10`, для RHEL 9.8 — `kernel-5.14.0-687.64.1.el9_8`, а для RHEL 10.2 — `kernel-6.12.0-211.72.1.el10_2`. По данным Red Hat, RHEL 7 не затронут, поскольку не содержит уязвимого кода; это ничего не говорит о его общем состоянии безопасности. Debian подтверждает обновления безопасности для Debian 12 (`linux`: `6.1.190-1`; `linux-6.12`: `6.12.113-1~deb12u1`) и Debian 13 (`linux`: первое исправление `6.12.113-1`). Для Ubuntu 22.04, 24.04 и 26.04 целевые пакеты универсальных ядер доступны в тестовом канале `-proposed`, но общее стабильное обновление здесь не подтверждено. Для Ubuntu 26.10 расхождение между блогом и более новым трекером остаётся неразрешённым. Попросите проверить конкретное имя пакета и ветку. - Upstream 5.10: исправлено начиная с 5.10.272 - Upstream 5.15: исправлено начиная с 5.15.223 - Upstream 6.1: исправлено начиная с 6.1.190 - Upstream 6.6: исправлено начиная с 6.6.159 - Upstream 6.12: исправлено начиная с 6.12.113 - Upstream 6.18: исправлено начиная с 6.18.56 - Upstream 7.2: исправлено начиная с 7.2.10; исправление mainline в 7.3 Отсутствие более старых upstream-веток в списке не означает, что они безопасны; для их поддержки требуется отдельное подтверждение производителя. Облачные, real-time, HWE, FIPS и другие специальные ядра необходимо проверять отдельно. ## Как проверить, затронут ли Ваш сайт? Решающее значение имеет ядро, на котором работает сайт. AWS прямо относит образы WordPress, LAMP и Plesk к случаям, требующим проверки. Проверка версий WordPress, плагинов, nginx или Apache не заменяет проверку ядра. При shared- или managed-хостинге попросите провайдера указать операционную систему и состояние её обслуживания. Для самостоятельно управляемых VPS или облачных серверов проверку должны выполнить Вы или Ваш администратор. Контейнеры Docker используют ядро хоста; новый контейнер его не исправляет. Виртуальные машины имеют собственные ядра: при необходимости хост и гостевую систему следует проверять отдельно. С помощью `uname -r` администраторы определяют работающее ядро. Кроме того, им необходимо установить полную версию пакета: в Debian/Ubuntu с помощью `dpkg-query`, в RPM-системах с помощью `rpm -q`. В Debian при сопоставлении с advisory дополнительно помогает версия пакета исходного кода. Сохраните суффикс дистрибутива и имя пакета; отсутствие найденного пакета не означает, что система безопасна. Сам по себе установленный пакет не подтверждает, что исправление активно. Функция системного обновления Plesk исключает пакеты ядра. Поэтому статуса «Актуально» в панели недостаточно. Общий Security Advisor в cPanel также не является подтверждением для конкретной CVE. Если Ваши права ограничены, привлеките провайдера. ## Что написать хостинг-провайдеру? Добавьте домен или номер клиента и отправьте следующий запрос: «Здравствуйте! Затронуто ли ядро Linux моего хостинга или сервера уязвимостью CVE-2026-98432? Укажите, пожалуйста, дистрибутив, ветку ядра, полную версию исправленного пакета, фактически работающее ядро и соответствующий advisory производителя. Активировано ли исправление после перезагрузки или с помощью загруженного livepatch, подходящего для этой CVE? При необходимости учтите хост виртуализации, гостевую VM и ядро хоста контейнеров. Если исправление ещё не выполнено: какая документированная производителем временная мера активна, какие у неё ограничения и когда состоятся обновление и необходимое окно обслуживания? Укажите, пожалуйста, дату проверки в ответе». Red Hat, SUSE, Canonical и AlmaLinux указывают, что для описанных обновлений ядра необходима перезагрузка. Livepatch может быть альтернативой только при наличии подтверждения для этой CVE и работающего ядра. В ходе исследования не было найдено подтверждения соответствующего Ubuntu Livepatch или Red Hat kpatch; зелёного статуса службы недостаточно. ## Что делать, если ядро нельзя обновить немедленно? Приоритет имеет одобренное производителем обновление. Согласуйте окно обслуживания. Попросите установить подходящий пакет, а после необходимой перезагрузки снова проверить работающее ядро и сопоставить его с исправленным пакетом. Red Hat документирует фильтр для TCP-трафика с опциями IPv4. Он уменьшает поверхность атаки, но прямо указано, что он не предотвращает атаки полностью. Пространства имён сети, контейнеры и фактические маршруты пакетов могут ограничить его действие. Администратор должен проверить правило производителя с учётом конкретной среды; оно не заменяет обновление. По данным Canonical, одного отключения MPTCP недостаточно. В проанализированных первичных источниках нет подтверждения того, что Cloudflare или Web Application Firewall (WAF) обеспечивает комплексную защиту от этой CVE. Ошибка затрагивает сетевой уровень и уровень ядра. Если невозможно ни обновление, ни эффективное ограничение доступности, последней мерой остаются временная изоляция или отключение, которые необходимо согласовать с владельцем. ## Частые вопросы об уязвимости Linux TCP ### Достаточно ли актуальных плагинов WordPress? Нет. Обновления плагинов не подтверждают, что работающее ядро исправлено. Попросите подтвердить его статус в отношении CVE-2026-98432. ### Защищает ли Cloudflare Ваш сайт? Проанализированные источники не подтверждают комплексную защиту от этой CVE. Попросите проверить ядро и обновить его, если оно затронуто. ### Затрагивает ли уязвимость статический сайт? Если он размещён на уязвимой системе Linux с доступной службой IPv4 TCP, ядро также необходимо проверить. Тип предоставляемого контента не определяет, затронута ли система. ### Доказывает ли оценка 9,8 по CVSS 3.1 факт взлома? Нет. Оценка описывает техническую серьёзность при определённых допущениях. Исследовательская RCE и возможная эксплуатация не доказывают взлом Вашего сервера. ### Становится ли новое установленное ядро активным автоматически? Нет. Необходимо получить подтверждение активации посредством требуемой перезагрузки или загруженного livepatch, который доказанно подходит для этой CVE. ### Нужно ли Вам самостоятельно выполнять серверные команды? При shared- или managed-хостинге отправьте запрос хостинг-провайдеру. Для самостоятельно управляемых серверов следует поручить администратору сопоставить версию пакета, работающее ядро и advisory производителя. --- Veröffentlicht von bezahlbare-webseite.de — Website im Abo ab 79 €/Monat. https://bezahlbare-webseite.de/