Для кого: тех, кто эксплуатирует серверы Linux, особенно доступные из интернета, и команд, создающих сетевые сервисы на Go. Статья основана на записи CVE в NVD, страницах Debian, Ubuntu, Red Hat и SUSE, объявлении команды безопасности проекта Go и сообщении BleepingComputer. Она не описывает шаги атаки или код эксплойта.
В развитии: эта страница будет обновляться по мере появления новых сведений
- Кого это касается
тех, кто эксплуатирует серверы Linux, особенно доступные из интернета, и команд, создающих сетевые сервисы на Go.
- ПодтвержденоСмотреть таблицу ↓
- Дефект
- Исправленные версии основной ветки
- Исправленные ядра Debian
- Пока не подтверждено
- Исправленные ядра от Ubuntu и Red Hat
- Работает ли удалённое выполнение кода против серверов без MPTCP
- Любая эксплуатация в реальных атаках
Ещё 1
- Собственная оценка NVD (статус: Received)
- Что сделать сейчасСмотреть шаги ↓
- Составьте список серверов Linux, принимающих внешние соединения IPv4 TCP
- Установите исправленное ядро там, где оно есть
- Перезагрузитесь и проверьте запущенное ядро
Ещё 2
- Если исправления ещё нет, примените временную меру поставщика и сократите доступность
- Найдите сервисы со слушающими сокетами MPTCP, включая программы на Go
- Где проверить (источник)Все источники ↓
- NVD, «CVE-2026-98432»
- Последняя проверка
- По состоянию на 1 ноября 2026 года (JST)
Планы обновлений и что мы проверили
Бюллетень Red Hat помечен как «Ongoing», и в нём сказано, что исправления ускоряются. Ubuntu указывает исправления как находящиеся в работе. Debian выпустил исправленные ядра.
Что делать сегодня
Составьте список серверов Linux, принимающих внешние соединения IPv4 TCP
Подходит почти любой доступный из интернета хост Linux, включая хосты контейнеров и виртуальные машины. CVE оценивает атаку как не требующую ни учётной записи, ни действий пользователя (CVSS v3.1 9.8), поэтому начните с серверов, доступных из интернета (мнение этого сайта).
Установите исправленное ядро там, где оно есть
В Debian для bookworm нужна версия 6.1.190-1, для trixie — 6.12.113-1 из архива безопасности. Для SUSE проверьте свой продукт на странице SUSE: часть потоков выпущена, часть в работе. Для Ubuntu и Red Hat следите за страницами из источников; на 1 ноября исправленных ядер там не было.
Перезагрузитесь и проверьте запущенное ядро
После перезагрузки выполните uname -r. Установленный пакет, не являющийся запущенным ядром, вас не защищает. Живой патч поставщика, покрывающий эту CVE, тоже подойдёт, но сначала проверьте страницу поставщика: SUSE указывает живые патчи для большинства потоков как находящиеся в работе.
Если исправления ещё нет, примените временную меру поставщика и сократите доступность
Red Hat описывает фильтр, отбрасывающий входящие пакеты IPv4 TCP с параметрами IP, и говорит, что он может уменьшить риск, но не заменяет установку исправлений. Сначала протестируйте его и уберите после исправления ядра. Где можете, ограничьте доступ к сервису доверенными сетями — эту меру перечисляет BleepingComputer.
Найдите сервисы со слушающими сокетами MPTCP, включая программы на Go
Команда безопасности проекта Go говорит, что Go 1.24 и новее включают MPTCP по умолчанию для слушающих сокетов в Linux, поэтому сервис на Go может использовать MPTCP, хотя никто этого не выбирал. Команда называет отключение в каждой программе ненадёжным способом снизить риск и говорит, что лучшее исправление — пропатченное ядро. Делайте это как дополнение, а не замену.
Исправленное ядро доступно
Debian 12 и 13, некоторые продукты SUSE. Установите, перезагрузитесь, выполните uname -r
Исправление в работе
Ubuntu, RHEL и связанные продукты. Используйте временную меру поставщика и сократите доступность
Проверьте также
Слушающие сокеты MPTCP, включая сервисы на Go 1.24 и новее
Исправленные версии
| Линейка ядра | Не затронуто начиная с | Источник |
|---|---|---|
| 5.10 | 5.10.272 | Запись CVE в NVD (CNA ядра) |
| 5.15 | 5.15.223 | То же |
| 6.1 | 6.1.190 | То же |
| 6.6 | 6.6.159 | То же |
| 6.12 | 6.12.113 | То же |
| 6.18 | 6.18.56 | То же |
| 7.2 | 7.2.10 | То же |
| 7.3 и новее | Исправлено исходным коммитом исправления (Debian: основная ветка 7.3-rc7) | NVD, Debian |
По данным NVD, затронутый диапазон уходит назад до ядра 4.4. У каждой ветки своя исправленная версия, поэтому ориентируйтесь на версию пакета вашего дистрибутива, а не на номер из основной ветки.
| Дистрибутив | Статус на 1 ноября 2026 года |
|---|---|
| Debian 12 (bookworm) | Исправлено: 6.1.190-1 (security) |
| Debian 13 (trixie) | Исправлено: 6.12.113-1 (security) |
| Debian testing и unstable | Исправлено: 7.2.12-1 и 7.2.14-1 |
| Ubuntu 26.10, 26.04 LTS, 24.04 LTS, 22.04 LTS | Уязвимы, исправление в работе |
| Ubuntu 20.04, 18.04, 16.04 | Уязвимы, версия не указана |
| Ubuntu 14.04 | Не затронута |
| RHEL 8, 9, 10; OpenShift | Затронуты; исправление на страницах Red Hat не указано. Статус бюллетеня «Ongoing» |
| SUSE Linux Enterprise Server 16.0, 15 SP4–SP6 LTSS, Micro 5.4, 5.5, 6.2 | Исправления выпущены |
| SUSE Linux Enterprise Server 15 SP7, большинство потоков живых патчей | В работе |
| SUSE Linux Enterprise Server 12 SP5, Micro 6.0 и 6.1 | Затронуты |
SUSE говорит, что её страница может быть неполной или устаревшей. Red Hat также указывает продукты на основе ядра RHEL (такие как RHEL CoreOS, OpenStack Platform и Virtualization) как потенциально затронутые. Облачные, аппаратные и прочие ядра поставщиков следуют собственным срокам.
Что раскрыто
- CVE
- CVE-2026-98432, опубликована 15 октября 2026 года. Статус NVD — Received, последнее изменение 31 октября
- Тип
- Use-after-free (в записи CVE CWE не указан)
- Серьёзность
- CVSS v3.1 9.8 (AV:N/AC:L/PR:N/UI:N) от CNA ядра. Ubuntu: High, 9.8. Red Hat: Critical (предварительно 9.8 на странице CVE). SUSE: important, 8.1 (сложность атаки оценивает как High)
- Где
- IPv4 TCP в ядре. Структуры параметров IP (
inet_optиireq_opt) освобождались, не дожидаясь читателей, что приводит к use-after-free вip_options_build(). Также исправлен родственный случай при миграции сокета запроса - Условие срабатывания
- По данным трекера Debian, повторно отправленный SYN, конкурирующий с созданием дочернего сокета, может прочитать параметры после их освобождения. IPv6 основной проблемой не затронут
- Исправление
- Освобождать эти структуры после периода ожидания RCU (
kfree_rcu()). В NVD указаны восемь коммитов стабильных веток - Эксплуатация
- В проверенных источниках подтверждённой эксплуатации в реальных атаках нет. 1 ноября нет в CISA KEV
Простыми словами, ядро освободило небольшой участок памяти, где хранились параметры соединения, тогда как другая часть ещё могла его читать. Память, прочитанную после освобождения, могут использовать для чего-то другого, и такой дефект может закончиться сбоем или выполнением кода с привилегиями ядра.
Red Hat описывает основное последствие как сбой системы, ведущий к отказу в обслуживании (DoS), или возможное повреждение памяти. Её страница CVE объясняет оценку Critical так: неаутентифицированный удалённый злоумышленник может вызвать повреждение памяти ядра или немедленный сбой через стандартный трафик IPv4 TCP, а для надёжного выполнения кода нужен точный контроль над памятью. BleepingComputer сообщил, что Red Hat оценила дефект в 5.9 как возможный отказ в обслуживании. Страницы Red Hat, проверенные этим сайтом 1 ноября, показывают вместо этого Critical и предварительные 9.8. Оценки в разных источниках различаются и могли измениться, поэтому проверьте страницу своего продукта.
Демонстрация с MPTCP и роль ИИ
BleepingComputer сообщил 30 октября, что исследователи одной ИИ-компании, как сообщается, продемонстрировали в лаборатории удалённое выполнение кода с правами root на сервере Linux со слушающим сокетом MPTCP, используя эксплойт, разработанный неопубликованной ИИ-моделью этой компании. Это следует из собственного отчёта компании, который BleepingComputer цитирует, но не проверял. Команда безопасности проекта Go сделала похожее заявление в объявлении, переданном в список oss-security 29 октября: сервер со слушающими сокетами MPTCP показан уязвимым к удалённому выполнению кода, а ошибка не специфична для MPTCP. Этот сайт сам демонстрацию не изучал и ссылки на неё не даёт.
Что показано и что не показано, по данным BleepingComputer:
- Для продемонстрированного выполнения кода был нужен слушающий сокет MPTCP
- Удалённое выполнение кода на серверах без слушающего сокета MPTCP публично не продемонстрировано
- На момент сообщения эксплуатация в реальных атаках не подтверждена
MPTCP в ядре необязателен, но команда безопасности проекта Go говорит, что Go 1.24 и новее включают его по умолчанию для слушающих сокетов в Linux. Поэтому командам, у которых работают сетевые сервисы на Go, стоит проверить собственные слушающие сокеты.
Урок для защитников — скорость. Если ИИ-модель может превратить опубликованное исправление ядра в работающий эксплойт, разрыв между публикацией патча и возможностью атаки может быть короче, чем раньше (мнение этого сайта). Это повод обновляться на первом же исправленном ядре поставщика, а не в следующее окно обслуживания.
Что известно и чего пока нет
| Пункт | Что опубликовано | Статус |
|---|---|---|
| Дефект | Use-after-free параметров IP в IPv4 TCP; CVSS 9.8 от CNA ядра, Ubuntu High 9.8, Red Hat Critical (предварительно), SUSE 8.1 | Подтверждено (CNA ядра, NVD, поставщики) |
| Исправленные версии основной ветки | От 5.10.272 до 7.2.10, перечислены выше | Подтверждено (запись CVE в NVD) |
| Исправленные ядра Debian | 6.1.190-1 и 6.12.113-1 | Подтверждено (трекер Debian) |
| Исправленные ядра Ubuntu и Red Hat | На проверенных страницах не указаны | В работе (поставщики) |
| Удалённое выполнение кода при слушающем сокете MPTCP | Сообщается как показанное в лаборатории исследователями ИИ-компании | Сообщается (BleepingComputer, команда безопасности проекта Go) |
| Удалённое выполнение кода без MPTCP | Публично не показано; команда безопасности проекта Go предупреждает, что подобные атаки могут быть возможны | Пока неизвестно |
| Эксплуатация в реальных атаках | Не подтверждена; 1 ноября нет в CISA KEV | Пока неизвестно |
| Собственная оценка NVD | Пока не присвоена (статус Received) | Пока неизвестно |
Источники
Проверено 1 ноября 2026 года.
- NVD, «CVE-2026-98432» — nvd.nist.gov
- Трекер безопасности Debian — security-tracker.debian.org
- Ubuntu — ubuntu.com
- Red Hat, бюллетень RHSB-2026-016 — access.redhat.com / страница CVE — access.redhat.com
- SUSE — suse.com
- Объявление команды безопасности проекта Go, переданное в oss-security (29 октября 2026) — openwall.com
- BleepingComputer, «Critical Linux kernel flaw allows remote root attacks on MPTCP servers» (30 октября 2026) — bleepingcomputer.com
- Каталог известных эксплуатируемых уязвимостей CISA (эта CVE проверена 1 ноября) — cisa.gov
История обновлений
2026-11-01: первая версия на основе страниц NVD, Debian, Ubuntu, Red Hat и SUSE, объявления команды безопасности проекта Go и сообщения BleepingComputer по состоянию на 1 ноября.
Читайте далее
- Недавняя уязвимость ядра, которая эксплуатируется: Ядро Linux Fragnesia (CVE-2026-46300)
- Определение приоритета: Что исправлять первым: CVSS, EPSS и KEV
- Устранение по-настоящему: Руководство по устранению уязвимостей
- Защита, когда злоумышленники используют ИИ: защита от кибератак с использованием ИИ
- Термины: Что такое RCE (удалённое выполнение кода) / Что такое CVSS