Уязвимость ядра Linux CVE-2026-98432: что проверить на VPS и сервере
Ошибка в IPv4 TCP затрагивает ядро Linux. Исправления уже доступны для ряда пакетов, а основные ветки Ubuntu ещё ожидают обновлений. Объясняем безопасный порядок проверки.
В этой статье
30 октября 2026 года поставщики Linux обновили сведения о CVE-2026-98432 — ошибке в сетевом коде ядра, которую можно вызвать удалённо через IPv4 TCP. Владельцам VPS/VDS и выделенных серверов стоит проверить не просто номер ядра, а статус конкретного пакета у поставщика ОС и версию ядра, которая фактически запущена. Исправления уже вышли не для всех дистрибутивов и веток.
Что изменилось в оценке риска
В карточке Canonical указаны CVSS 9,8 и приоритет Ubuntu High. Ошибка возникает, когда один процессор освобождает данные параметров сокета, пока другой ещё использует их при обработке TCP-соединения. Такое обращение к уже освобождённой памяти может привести к сбою или повреждению памяти ядра.
Red Hat оценивает уязвимость как Critical для затронутых выпусков RHEL: удалённый злоумышленник без учётной записи может вызвать повреждение памяти ядра или немедленный сбой через обычный IPv4 TCP-трафик. Надёжное выполнение кода требует более сложного управления памятью, поэтому критичность поставщика не следует превращать в утверждение, что каждый доступный сервер уже можно гарантированно захватить.
Исследователи Anthropic показали удалённое выполнение команд с правами root на сервере с прослушивающим MPTCP-сокетом. Это лабораторная демонстрация, а не подтверждение массовых взломов. Она показывает возможный тяжёлый сценарий, но не заменяет проверку применимости для конкретной ОС, пакета и конфигурации.
Для владельца сайта важен практический вывод: обновление PHP, 1С-Битрикс или CMS эту ошибку не закрывает, потому что она находится в ядре ОС. На самостоятельно администрируемом VPS/VDS или выделенном сервере проверку выполняет администратор; на виртуальном хостинге нужно запросить у провайдера статус используемых хост-узлов. Отсутствие MPTCP не доказывает безопасность: оно относится к опубликованной демонстрации выполнения кода, тогда как поставщики описывают и другие последствия для IPv4 TCP.
Исправления зависят от дистрибутива и пакета
Для основного пакета с точным именем linux в Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS и 26.10 на момент проверки стоит статус Vulnerable, work in progress. У облачных, HWE и других вариантов ядра отдельные строки статуса. Номер готовящегося пакета рядом со статусом не означает, что обновление уже выпущено или установлено.
В бюллетене Amazon Linux на 30 октября как Fixed отмечены перечисленные пакеты Amazon Linux 2 и Amazon Linux 2023, включая kernel, kernel6.12 и kernel6.18. Это не основание считать исправленным сервер другой ОС или другой ветки: статус относится к указанным пакетам и датам выпуска.
Первоначальное сообщение команды Linux CVE перечисляло исправления в ветках upstream, включая 6.12.113, 6.18.56 и 7.2.10. Сравнивать эти номера напрямую с версиями пакетов Ubuntu, RHEL или Amazon Linux нельзя: дистрибутивы переносят исправления в собственные ветки. Команда ядра рекомендует обновлять поддерживаемую ветку целиком, а не самостоятельно выбирать отдельный commit.
Что сделать владельцу VPS или сервера
- Составить список серверов, дистрибутивов, пакетов ядра и фактически работающих ядер; отдельно отметить доступные извне IPv4 TCP-сервисы.
- Сверить CVE со статусом именно своего пакета в официальном бюллетене поставщика. Статус Fixed у соседней ветки не переносить на свою.
- Если исправление доступно, согласовать установку и необходимую перезагрузку по процедуре поставщика ОС. Перед работами проверить актуальность резервных копий и план возврата.
- После перезагрузки подтвердить, что запущено обновлённое ядро, а сайт, почта, панели управления, интеграции и резервное копирование работают.
- Если исправление ещё готовится, назначить повторную проверку бюллетеня и согласовать с администратором временное уменьшение сетевой доступности без нарушения нужных бизнес-подключений.
Не отключайте сетевые функции и не перезагружайте рабочую инфраструктуру по универсальной команде из новости. Ограничение может нарушить нужные подключения и не заменяет исправление. Обновлённый пакет на диске также не доказывает, что сервер уже использует исправленное ядро.
Критерий результата
- Официальный бюллетень показывает Fixed или Not affected для точного пакета и выпуска ОС.
- Фактически запущенное ядро соответствует установленному исправленному пакету; это проверено после требуемой перезагрузки.
- Внешние и внутренние сервисы прошли проверку доступности, а задания резервного копирования завершились без новых ошибок.
- Если исправления пока нет, зафиксированы ответственный, дата следующей проверки и временные ограничения с учётом зависимостей сайта.
Сведения проверены 31 октября 2026 года. Запись CVE опубликована 15 октября, исследование — 27 октября, карточка Ubuntu обновлена 30 октября; Amazon Linux выпустила дополнительные исправления 30 октября. Материал не утверждает, что конкретный сервер General iT или клиента был взломан: состояние устанавливается отдельно по ОС, пакету и работающему ядру.
On October 30, 2026, Linux vendors updated the details for CVE-2026-98432, a flaw in the kernel network code that can be triggered remotely via IPv4 TCP. VPS/VDS and dedicated server owners should check not just the kernel version, but the status of the specific package from the OS provider and the actual kernel version running. Patches have not yet been released for all distributions and branches.
Changes in Risk Assessment
In the Canonical card, CVSS 9.8 and Ubuntu High priority are listed. The error occurs when one processor frees socket parameter data while another is still using it during TCP connection processing. Such access to already freed memory can lead to a crash or kernel memory corruption.
Red Hat rates the vulnerability as Critical for affected RHEL releases: a remote unauthenticated attacker can cause kernel memory corruption or an immediate crash via standard IPv4 TCP traffic. Reliable code execution requires more complex memory management, so the vendor's criticality rating should not be interpreted as a guarantee that every accessible server can be compromised.
Anthropic researchers demonstrated remote command execution with root privileges on a server with a listening MPTCP socket. This is a laboratory demonstration, not confirmation of widespread breaches. It illustrates a potential severe scenario but does not replace applicability testing for a specific OS, package, and configuration.
For a website owner, the practical takeaway is clear: updating PHP, 1C-Bitrix, or a CMS does not fix this issue because it resides in the OS kernel. On a self-administered VPS/VDS or dedicated server, the administrator performs the check; on shared virtual hosting, you must request the status of the host nodes from the provider. The absence of MPTCP does not prove safety: it relates only to the published code execution demonstration, whereas vendors describe other consequences for IPv4 TCP.
Patches Depend on Distribution and Package
For the main package with the exact name linux in Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS, and 26.10, the status at the time of checking is Vulnerable, work in progress. Cloud, HWE, and other kernel variants have separate status lines. The number of the pending package next to the status does not mean the update has already been released or installed.
In the Amazon Linux bulletin dated October 30, the following Amazon Linux 2 and Amazon Linux 2023 packages are listed as Fixed, including kernel, kernel6.12, and kernel6.18. This does not justify assuming that a server running a different OS or branch is patched: the status applies only to the specified packages and release dates.
The initial Linux CVE team announcement listed fixes in upstream branches, including 6.12.113, 6.18.56, and 7.2.10. These version numbers cannot be directly compared to Ubuntu, RHEL, or Amazon Linux package versions: distributions backport fixes into their own branches. The kernel team recommends updating the entire supported branch rather than manually selecting individual commits.
What a VPS or Server Owner Should Do
- Compile a list of servers, distributions, kernel packages, and the actually running kernels; separately note IPv4 TCP services accessible from outside.
- Cross-reference CVEs with the status of your specific package in the vendor's official bulletin. Do not transfer a Fixed status from a neighboring branch to your own.
- If a fix is available, coordinate the installation and required reboot according to the OS vendor's procedure. Before starting work, verify the currency of backups and the rollback plan.
- After rebooting, confirm that the updated kernel is running and that the website, email, control panels, integrations, and backup systems are operational.
- If the fix is still in preparation, schedule a re-check of the bulletin and agree with the administrator on temporarily reducing network availability without disrupting required business connections.
Do not disable network functions or reboot the production infrastructure based on a universal command from a news post. A restriction may disrupt required connections and does not replace a fix. An updated package on disk also does not prove that the server is already using the patched kernel.
Result criteria
- The official bulletin shows Fixed or Not affected for the exact package and OS release.
- The actually running kernel corresponds to the installed patched package; this is verified after the required reboot.
- External and internal services have passed availability checks, and backup jobs completed without new errors.
- If a patch is not yet available, the responsible person, the date of the next check, and temporary restrictions accounting for site dependencies are recorded.
Information verified on October 31, 2026. The CVE record was published on October 15, the investigation on October 27, the Ubuntu card updated on October 30, and Amazon Linux released additional patches on October 30. The material does not assert that a specific General iT or client server was compromised; the status is determined separately by OS, package, and running kernel.
Обсуждение 0
Делись опытом и задавай вопросы. Комментарии без ссылок появляются после проверки редактором.
Пока никто не написал. Начни обсуждение.