Ing. Calogero Bono
Критическая уязвимость в коде TCP IPv4 ядра Linux, обозначенная как CVE-2026-98432, может привести к удалённому выполнению кода. Red Hat опубликовала исправленные ядра для RHEL 8, 9 и 10 первого ноября. Canonical второго ноября поместила исправления для Ubuntu 22.04, 24.04 и 26.04 LTS в тестовый канал -proposed, без даты регулярного обновления. Для тех, кто администрирует открытые серверы, выбор простой – ждать или ставить сразу.
Несколько терминов, прежде чем перейти к фактам. CVE — код, по которому идентифицируется известная уязвимость. CVSS — шкала от 0 до 10, измеряющая серьёзность, здесь 9.8. Use-after-free — ошибка, при которой программа читает уже освобождённую память. -proposed — канал Ubuntu, где обновления проходят проверку и не устанавливаются сами. MPTCP — Multipath TCP, вариант протокола, использующий несколько сетевых путей.
Что представляет собой уязвимость CVE-2026-98432?
По данным The Hacker News, когда сервер принимает TCP-соединение IPv4, ядро передаёт IP-опции запроса новому сокету без копирования. Если клиент повторно отправляет запрос, пока другой процессор ещё читает эти опции, ядро может прочитать уже освобождённую память.
Злоумышленник отправляет запросы с опциями IPv4 Record Route или Timestamp на любой прослушиваемый TCP-порт. Никакого доступа не требуется. Основной путь IPv6 не затронут. Дефект присутствует начиная с ядра 4.4, а исправление в апстриме появилось в октябре.
Насколько это серьёзно и есть ли эксплойт в обращении?
Команда CVE ядра присвоила 9.8 из 10. Red Hat изначально оценила уязвимость как 5.9 Moderate, а затем подняла балл до 9.8 и определила её как Critical. Amazon Linux ставит 8.1, Important, и говорит в первую очередь о сбоях с возможным повреждением памяти.
Ни один поставщик, CERT или команда ядра не сообщили об атаках, а в конце октября уязвимости не было в каталоге CISA. Anthropic заявила, что внутренняя исследовательская модель написала root-эксплойт для серверов с MPTCP-слушателями, но код не опубликовала. На GitHub есть только код, вызывающий критическую гонку, без выполнения кода.
Какие версии Ubuntu затронуты и как установить патч?
По данным официального блога Ubuntu, Jammy (22.04) имеет ядро 5.15.0-203.213 в -proposed, Noble (24.04) — 6.8.0-149.149, а Resolute (26.04) — 7.0.0-43.43. Stonking (26.10) уже исправлена версией 7.3.0-10.10. Для Focal, Bionic и Xenial исправление в пути, а Trusty не затронута.
Командой uname -r проверяешь текущее ядро. Чтобы получить исправление раньше, подключи -proposed через add-apt-repository, установи указанную версию командой apt install -t и перезагрузись. Canonical проверяет обновления на более чем 2000 серверах и сертифицированных устройствах до регулярного выпуска. Для старых версий нужна Ubuntu Pro с ESM.
Если ты управляешь пакетами вручную, наше руководство по apt и dnf поможет с шагами.
Есть ли меры смягчения и достаточно ли отключить MPTCP?
Нет, одного отключения MPTCP недостаточно. Дефект находится в TCP-пути IPv4, а не в MPTCP, и Canonical подчёркивает, что для Ubuntu Security Team обновления — единственная надлежащая мера. Совет по протоколу возник только потому, что описанный Anthropic эксплойт его использует.
30 октября Red Hat опубликовала правило nftables, которое отбрасывает TCP-пакеты IPv4 с IP-опциями. Оно блокирует известный триггер, но полностью не предотвращает эксплуатацию и может сломать сервисы, использующие эти опции. Действует только на хосте, где загружено, а трафик между контейнерами на одной машине может его обойти. Чтобы разобраться с сетевыми правилами, начни с руководства по настройке сети в Linux.
Ограничения, которые стоит знать
Даты регулярного выпуска для Ubuntu пока нет. Облачные, FIPS и real-time варианты всё ещё в работе, а пост Canonical касается только generic-ядра. Эксплойт Anthropic не опубликован, и его эффективность — заявление компании, которое никто из третьих сторон не проверил. Картина с реальными атаками может быстро измениться.
Что меняется для тех, кто работает с цифровыми системами
Если ты администрируешь серверы Ubuntu 22.04, 24.04 или 26.04, открытые в интернет, решить нужно уже сейчас – использовать -proposed или подождать. На RHEL 8, 9 и 10 достаточно установить обновление и перезагрузиться. Перезагрузку нужно запланировать, поэтому понадобится окно обслуживания. Проверь также контейнеры и виртуальные машины, ведь они наследуют ядро хоста. Если ты пользуешься управляемым хостингом, спроси у провайдера, в каком состоянии патч.
Наше мнение
Решение Canonical технически осторожно, но оставляет на несколько дней без защиты именно те серверы, которым патч нужнее всего. Уязвимость 9.8, достижимая без аутентификации, заслуживает более быстрого пути, и перекладывание риска на администратора через -proposed приемлемо только при хорошем объяснении. Блог это делает, но задержка для старых версий остаётся проблемой. Нужно отметить, что совет отключить MPTCP был ясно опровергнут.
Частые вопросы
Используется ли CVE-2026-98432 уже сейчас?
Атак, о которых сообщили бы поставщики, CERT или команда ядра, не зафиксировано. По состоянию на 30 октября уязвимости не было в каталоге CISA. Однако есть эксплойт, о котором заявила Anthropic и который не опубликован, а также тестовый код на GitHub.
Как проверить, уязвим ли мой Ubuntu?
Выполни uname -r и сравни версию с таблицей Canonical. Установленные пакеты можно посмотреть командой dpkg -l 'linux-image*'. После обновления также нужна перезагрузка.
Можно ли поставить патч из -proposed?
Да, если ты готов использовать канал, который ещё проходит проверку. Включаешь -proposed и явно устанавливаешь ядро, так как оно не обновляется автоматически. Затем перезагружаешься.
Отключение MPTCP решает проблему?
Нет. Уязвимость находится в TCP IPv4, а не в MPTCP, как напоминает Canonical. Совет возник только из-за эксплойта, описанного Anthropic.
А что с Ubuntu 20.04 и более старыми?
Пока исправления нет. Focal, Bionic и Xenial ожидают выпуска и идут через Ubuntu Pro с ESM. Trusty не затронута.
На что смотреть в ближайшие дни по ядрам Ubuntu
Главное решится в регулярном выпуске Canonical и в том, опубликуют ли эксплойт.
- Следи за страницей CVE на сайте Ubuntu – там появится дата выхода в канале updates и для облачных вариантов.
- Проверяй, появились ли сообщения об атаках или включение в каталог CISA.
- Заранее спланируй окно перезагрузки для открытых серверов, чтобы применить патч сразу, как он станет доступен.
