Ing. Calogero Bono
Linux 内核 TCP IPv4 代码中的一个严重漏洞，编号为 CVE-2026-98432，可能导致远程代码执行。Red Hat 已于 11 月 1 日为 RHEL 8、9 和 10 发布修复后的内核。Canonical 则在 11 月 2 日把 Ubuntu 22.04、24.04 和 26.04 LTS 的修复放入测试通道 -proposed，尚未给出常规更新的日期。对于暴露在外的服务器管理者来说，选择只有两个，等待，或者立即安装。
在进入具体事实之前，先了解几个术语。 CVE 是用来标识已知漏洞的编号。CVSS 是从 0 到 10 的严重程度评分，这里为 9.8。Use-after-free 指程序读取了已经被释放的内存。-proposed 是 Ubuntu 的一个渠道，更新在这里仍处于测试阶段，不会自动安装。MPTCP 是 Multipath TCP，即利用多条网络路径的协议变体。
CVE-2026-98432 漏洞是什么？
据 The Hacker News 的梳理，当服务器接受一个 TCP IPv4 连接时，内核会把请求中的 IP 选项直接传给新的套接字而不做复制。如果客户端在另一个处理器仍在读取这些选项时重传请求，内核就可能读取已经被释放的内存。
攻击者只需向任意处于监听状态的 TCP 端口发送带有 IPv4 Record Route 或 Timestamp 选项的请求，无需任何访问权限。主要的 IPv6 路径不涉及此问题。该缺陷自内核 4.4 起就已存在，上游修复于十月发布。
漏洞有多严重，是否存在利用代码？
内核 CVE 团队给出 10 分制的 9.8 分。Red Hat 最初评为 5.9 的 Moderate，之后将评分提高到 9.8，并将其定为 Critical。Amazon Linux 评为 8.1 的 Important，主要描述为可能导致内存损坏的崩溃。
没有任何供应商、CERT 或内核团队报告攻击，截至十月底该漏洞也不在 CISA 已被利用漏洞目录中。Anthropic 表示，其内部研究模型为带有 MPTCP 监听器的服务器编写了 root 权限的利用代码，但并未公开代码。GitHub 上只有能触发关键竞争条件的代码，并不能执行任意代码。
哪些 Ubuntu 版本受影响，如何安装补丁？
据 Ubuntu 官方博客，Jammy（22.04）的内核 5.15.0-203.213 位于 -proposed，Noble（24.04）为 6.8.0-149.149，Resolute（26.04）为 7.0.0-43.43。Stonking（26.10）已通过 7.3.0-10.10 修复。Focal、Bionic 和 Xenial 的修复正在准备中，Trusty 不受影响。
用 uname -r 检查当前内核。若要提前获得修复，可用 add-apt-repository 启用 -proposed，再用 apt install -t 安装指定版本并重启。Canonical 在常规发布前会在 2000 多台认证服务器和设备上测试更新。较旧的版本需要带 ESM 的 Ubuntu Pro。
如果你习惯手动管理软件包，我们的apt 与 dnf 指南可以帮你梳理步骤。
有缓解措施吗，仅关闭 MPTCP 够不够？
不够，仅关闭 MPTCP 并不能解决问题。缺陷位于 TCP IPv4 路径而非 MPTCP，Canonical 也重申，对于 Ubuntu 安全团队而言，更新是唯一恰当的缓解方式。关于该协议的建议只是因为 Anthropic 描述的利用代码用到了它。
Red Hat 于 10 月 30 日发布了一条 nftables 规则，用于丢弃带有 IP 选项的 TCP IPv4 数据包。它能阻断已知的触发方式，却无法完全阻止利用，而且可能影响依赖这些选项的服务。该规则只作用于加载它的主机，同一台机器上容器之间的流量可能绕过它。想了解网络规则，可以先看我们的Linux 网络配置指南。
需要了解的限制
Ubuntu 的常规发布日期尚未确定。云版、FIPS 和实时版仍在处理中，而 Canonical 的文章只涵盖通用内核。Anthropic 的漏洞利用代码并未公开，其有效性只是该公司的声明，没有第三方验证。关于实际攻击的情况可能很快发生变化。
这对数字工作者意味着什么
如果你管理暴露在互联网上的 Ubuntu 22.04、24.04 或 26.04 服务器，现在就需要决定是使用 -proposed 还是等待。在 RHEL 8、9 和 10 上，只需安装更新并重启即可。重启需要提前安排维护窗口。也要检查容器和虚拟机，因为它们会继承宿主机的内核。如果你使用托管主机服务，应向服务商询问补丁的状态。
我们的看法
从技术角度看，Canonical 的选择是谨慎的，但它让最需要补丁的服务器暴露数天之久。一个无需认证即可访问的 9.8 分漏洞值得更快的处理方式，而只有在说明清楚的前提下，让管理员通过 -proposed 自行承担风险才可以接受。博客确实做了说明，但老版本的延迟仍是问题。需要承认的是，关闭 MPTCP 的建议已被明确否定。
常见问题
CVE-2026-98432 已经被利用了吗？
没有供应商、CERT 或内核团队报告攻击事件，截至 10 月 30 日该漏洞也不在 CISA 目录中。不过，Anthropic 声称拥有一个未公开的漏洞利用代码，GitHub 上也有测试代码。
如何检查我的 Ubuntu 是否存在漏洞？
运行 uname -r，并将版本与 Canonical 的表格对比。可以用 dpkg -l 'linux-image*' 查看已安装的软件包。更新后还需要重启。
可以从 -proposed 安装补丁吗？
可以，但前提是你接受使用仍在测试中的渠道。需要启用 -proposed 并明确安装内核，因为它不会自动更新。之后重启即可。
关闭 MPTCP 能解决问题吗？
不能。漏洞位于 TCP IPv4 而非 MPTCP，Canonical 对此有所提醒。关闭协议的建议只是因为 Anthropic 描述的漏洞利用用到了它。
那 Ubuntu 20.04 或更早的版本呢？
目前还没有修复。Focal、Bionic 和 Xenial 仍在等待，需通过带 ESM 的 Ubuntu Pro 获取。Trusty 不受影响。
接下来几天 Ubuntu 内核要关注什么
关键在于 Canonical 的常规发布以及漏洞利用代码是否公开。
- 关注 Ubuntu 的 CVE 页面，了解 updates 渠道的发布日期以及云版本的情况。
- 留意是否出现攻击报告或被收录进 CISA 目录。
- 为暴露在外的服务器预留重启窗口，以便补丁一发布就能立即应用。
