CVE-2026-98432: критическая дыра в TCP-стеке ядра Linux позволяет получить root по сети
Уязвимость с оценкой 9,8 живёт в ядре с версии 4.4. Часть дистрибутивов уже выпустила исправления, Ubuntu и RHEL пока советуют фильтр nftables. Разбираем, что делать сегодня.
В ядре Linux нашли use-after-free в коде установки IPv4 TCP-соединений. Уязвимость получила номер CVE-2026-98432 и оценку CVSS 9,8 из 10: атакующему не нужны ни учётная запись, ни действия пользователя, достаточно отправить серверу специально собранные TCP-пакеты. Red Hat в бюллетене RHSB-2026-016 относит её к критическим и называет последствия: порча памяти ядра или мгновенное падение системы. Бюллетень выпущен 30 октября и обновлён 3 ноября.
Ошибка затрагивает ядра начиная с 4.4, то есть почти любой сервер, который принимает IPv4-соединения из интернета. Как объясняет AlmaLinux, когда запрос на соединение (SYN) приходит с IPv4-опциями, ядро хранит их копию рядом с ожидающим соединением, чтобы вернуть в ответе. При гонке во время повторной обработки SYN эту копию освобождают, пока она ещё используется. IPv6 уязвимость не задевает.
Если ваш сайт, API или бэкенд мобильного приложения работает на серверах подрядчика, сейчас стоит задать ему простой вопрос: кто и когда обновит ядро и перезагрузит машины. В договорах на сопровождение у команды YuSMP и других студий заказной разработки срочные патчи обычно оговорены отдельным пунктом, и полезно проверить, что в вашем договоре он тоже есть.
Кто уже выпустил исправления
- Amazon Linux. По бюллетеню AWS 2026-160 исправленные ядра вышли для веток 4.14, 5.4, 5.10, 5.15, 6.1, 6.12 и 6.18. AWS просит обновиться и сразу перезагрузиться.
- AlmaLinux 8, 9 и 10. Нужны ядра не старше
4.18.0-553.182.1.el8_10,5.14.0-687.64.1.el9_8и6.12.0-211.72.1.el10_2соответственно. - RHEL 8, 9 и 10. Red Hat ускоряет выпуск ядер, а до их установки предлагает фильтр пакетов.
- Ubuntu. На странице CVE для 22.04, 24.04, 26.04 LTS и 26.10 стоит «Work in progress», а 16.04–20.04 помечены как уязвимые.
По данным Security Boulevard, в стабильных ветках исправление вошло в 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 и 7.2.10. Там же сказано, что ошибку нашла и довела до рабочего эксплойта с удалённым root ИИ-модель Claude компании Anthropic. При этом на 2 ноября атак в реальной среде не зафиксировано, а в каталоге KEV агентства CISA этой уязвимости нет.
Что сделать на сервере
- Проверьте версию ядра (
uname -r) и сверьте её с бюллетенем своего дистрибутива. Для Debian смотрите трекер безопасности. - Если исправленное ядро уже есть, обновитесь (
sudo dnf upgradeилиsudo apt full-upgrade) и перезагрузите машину. Без перезагрузки продолжит работать старое ядро. - Если исправления ещё нет, поставьте временное правило nftables, которое отбрасывает входящие IPv4 TCP-пакеты с IP-опциями. Готовые правила есть в бюллетенях Red Hat и Ubuntu. Обычный трафик такие опции почти никогда не несёт. После обновления ядра правило снимают командой
nft delete table inet cve_2026_98432. - Не рассчитывайте только на отключение MPTCP. AWS предлагает его как временную меру, но Red Hat подчёркивает, что ошибка сидит в обычной обработке IPv4 TCP, а не в коде MPTCP.
Фильтр снижает риск, но не закрывает уязвимость. Полное решение одно: исправленное ядро и перезагрузка.
Базовые меры для нового сервера мы собирали в материале о защите Linux-сервера, а предыдущую громкую уязвимость ядра разбирали в новости о Fragnesia. Проверить, какие порты сервера открыты наружу, поможет гайд по диагностике сети.