跳到正文
ITDWeb 安全平台
ITD
搜索

安全指南

#漏洞#CVE-2026-98432#Linux#内核#TCP#MPTCP#服务器#AI时代的准备

Linux内核CVE-2026-98432：可通过网络触发的TCP释放后使用漏洞（CVSS 9.8）；请安装已修复的内核、重启并检查MPTCP

CVE-2026-98432是Linux内核IPv4 TCP中的释放后使用漏洞，CVSS评分9.8。已修复的内核版本、Debian、Ubuntu、Red Hat和SUSE的状态，以及今天该做什么。

发布于 2026-11-01 更新于 2026-11-01 最后核实 2026-11-01 3 分钟阅读
本页目录

适用对象：运行Linux服务器的人，尤其是面向互联网的服务器，以及用Go构建网络服务的团队。本文基于NVD中的CVE记录、Debian、Ubuntu、Red Hat和SUSE的页面、Go项目的安全公告以及BleepingComputer的报道。不涉及攻击步骤或利用代码。

事件仍在发展：本页将随更多信息的发布而更新

适用对象

运行Linux服务器的人，尤其是面向互联网的服务器，以及用Go构建网络服务的团队。

已确认的影响范围查看表格 ↓
  • 缺陷
  • 上游已修复版本
  • Debian已修复的内核
尚未确认的事项
  • Ubuntu和Red Hat已修复的内核
  • 针对没有MPTCP的服务器，远程代码执行是否有效
  • 是否有任何在野利用
另外1项
  • NVD自己的评估（状态：Received）
现在要做的事查看步骤 ↓
  1. 列出接受来自外部的IPv4 TCP连接的Linux服务器
  2. 在已有修复的地方安装已修复的内核
  3. 重启，然后确认正在运行的内核
另外2项
  1. 如果尚无修复，请采用厂商的临时缓解措施并缩小暴露面
  2. 找出使用MPTCP监听的服务，包括Go程序
核实来源（出处）全部来源 ↓
NVD，“CVE-2026-98432”— nvd.nist.gov
最后核实
截至2026年11月1日（JST）
续报计划与核实记录

Red Hat的公告标记为“Ongoing”（进行中），并称正在加快修复。Ubuntu将修复列为进行中。Debian已发布已修复的内核。

今天该做什么

1

列出接受来自外部的IPv4 TCP连接的Linux服务器

几乎每台面向互联网的Linux主机都符合条件，包括容器主机和虚拟机。CVE将该攻击评为无需账户且无需用户操作（CVSS v3.1 9.8），所以请从可从互联网访问的服务器开始（本站观点）。

2

在已有修复的地方安装已修复的内核

在Debian上，bookworm需要安全存档中的6.1.190-1，trixie需要6.12.113-1。对于SUSE，请在SUSE的页面上检查您的产品，因为有些版本线已发布，有些在进行中。对于Ubuntu和Red Hat，请关注来源中的页面；它们在11月1日没有列出已修复的内核。

3

重启，然后确认正在运行的内核

重启后运行uname -r。已安装但不是正在运行的内核的软件包不能保护您。涵盖此CVE的厂商热补丁也算数，但请先查看厂商页面，因为SUSE将大多数版本线的热补丁列为进行中。

4

如果尚无修复，请采用厂商的临时缓解措施并缩小暴露面

Red Hat描述了一种丢弃带有IP选项的传入IPv4 TCP数据包的过滤器，并称它可以减少暴露，但不能替代打补丁。请先测试，并在内核修复后移除。在可能的地方，把可访问某项服务的对象限制在受信任的网络，这是BleepingComputer列出的一项缓解措施。

5

找出使用MPTCP监听的服务，包括Go程序

Go项目的安全团队称，Go 1.24及之后的版本在Linux的监听套接字上默认启用MPTCP，所以Go服务可能在没人选择的情况下使用MPTCP。该团队把按程序关闭它描述为一种脆弱的减少暴露的方式，并称最好的修复是打了补丁的内核。请把这作为额外措施，而不是替代。

已有修复的内核

Debian 12和13，部分SUSE产品。安装、重启、运行uname -r

修复进行中

Ubuntu、RHEL及相关产品。使用厂商的临时缓解措施并缩小暴露面

另请检查

MPTCP监听器，包括Go 1.24或更高版本的服务

截至2026年11月1日，修复已推进到哪里。请查看您自己所用发行版那一行。

已修复的版本

9.8
CVSS v3.1（Linux内核CNA，显示于NVD；Ubuntu一致）
网络
攻击向量：远程、无需权限、无需用户交互
10月15日
CVE公布（NVD）
不在KEV中
CISA目录，11月1日查看
内核分支自此版本起不受影响来源
5.105.10.272NVD中的CVE记录（内核CNA）
5.155.15.223同上
6.16.1.190同上
6.66.6.159同上
6.126.12.113同上
6.186.18.56同上
7.27.2.10同上
7.3及之后由最初的修复提交修复（Debian：上游7.3-rc7）NVD、Debian

根据NVD，受影响范围可追溯到内核4.4。每个分支都有自己的已修复版本，所以请以发行版提供的软件包版本为准，而不是上游的版本号。

发行版2026年11月1日的状态
Debian 12（bookworm）已修复：6.1.190-1（security）
Debian 13（trixie）已修复：6.12.113-1（security）
Debian testing和unstable已修复：7.2.12-1和7.2.14-1
Ubuntu 26.10、26.04 LTS、24.04 LTS、22.04 LTS存在漏洞，修复进行中
Ubuntu 20.04、18.04、16.04存在漏洞，未列出版本
Ubuntu 14.04不受影响
RHEL 8、9、10；OpenShift受影响；Red Hat页面未列出修复。公告状态为“Ongoing”
SUSE Linux Enterprise Server 16.0、15 SP4至SP6 LTSS、Micro 5.4、5.5、6.2修复已发布
SUSE Linux Enterprise Server 15 SP7、大多数热补丁版本线进行中
SUSE Linux Enterprise Server 12 SP5、Micro 6.0和6.1受影响

SUSE称其自身页面可能不完整或已过时。Red Hat还将基于RHEL内核构建的产品（如RHEL CoreOS、OpenStack Platform和Virtualization）列为可能受影响。云、设备和其他厂商的内核按各自的时间表进行。

已披露的内容

IPv4 TCP中IP选项的释放后使用（CVE-2026-98432）
CVE
CVE-2026-98432，2026年10月15日公布。NVD状态为Received，最后修改于10月31日
类型
释放后使用（CVE记录未给出CWE）
严重程度
内核CNA给出CVSS v3.1 9.8（AV:N/AC:L/PR:N/UI:N）。Ubuntu：High，9.8。Red Hat：Critical（其CVE页面上为初步的9.8）。SUSE：important，8.1（它将攻击复杂度评为High）
位置
内核中的IPv4 TCP。IP选项结构（inet_opt和ireq_opt）在未等待读取方的情况下被释放，导致ip_options_build()中出现释放后使用。请求套接字迁移中的一个相关情形也已修复
触发条件
据Debian的跟踪页面，重传的SYN与子套接字的创建竞争时，可能在选项被释放后读取它们。IPv6不受主要问题影响
修复
在RCU宽限期之后释放这些结构（kfree_rcu()）。NVD引用了八个稳定分支的提交
利用
在我们查看的来源中没有确认的在野利用。11月1日不在CISA KEV中

通俗地说，内核释放了一小块保存连接选项的内存，而另一部分仍可能在读取它。在释放之后被读取的内存可能被重新用于别的用途，这类缺陷可能导致崩溃，或者导致代码以内核权限运行。

Red Hat将主要影响描述为系统崩溃导致拒绝服务（DoS），或潜在的内存损坏。其CVE页面这样解释Critical评级：未经认证的远程攻击者可以通过标准的IPv4 TCP流量造成内核内存损坏或立即崩溃，而可靠的代码执行则需要对内存的精确控制。BleepingComputer报道称，Red Hat将该缺陷评为5.9分，作为一种可能的拒绝服务。本站11月1日查看的Red Hat页面显示的则是Critical和初步的9.8。各来源之间的评级不同，并且可能已经改变，所以请查看适用于您产品的页面。

MPTCP演示与AI方面

BleepingComputer在10月30日报道称，一家AI公司的研究人员据称在实验室中演示了针对带有MPTCP监听器的Linux服务器、以root身份的远程代码执行，依据的是该公司自己的报告（BleepingComputer引用了它但未核实），所用的利用代码由该公司一个未发布的AI模型开发。Go项目的安全团队在10月29日通过oss-security列表转发的公告中做了类似的说明：带有MPTCP监听器的服务器被证明易受远程代码执行攻击，并且该漏洞并非MPTCP所特有。本站没有审查该演示本身，也不链接到它。

据BleepingComputer，已展示和未展示的内容如下：

  • 所演示的代码执行需要MPTCP监听器
  • 针对没有MPTCP监听器的服务器的远程代码执行，尚未公开演示
  • 截至该报道，没有确认的在野利用

MPTCP在内核中是可选的，但Go项目的安全团队称，Go 1.24及之后的版本在Linux上默认为监听套接字启用它。这就是运行Go网络服务的团队应该检查自己监听器的原因。

对防御者的教训是速度。如果AI模型能把已公布的内核修复变成可用的利用代码，那么补丁公开与攻击成为可能之间的间隔，可能比过去更短（本站观点）。这是应当在厂商首个已修复的内核出来时就更新，而不是等到下一个维护窗口的理由。

已知与未知

项目已公布的内容状态
缺陷IPv4 TCP中IP选项的释放后使用；内核CNA给出CVSS 9.8，Ubuntu为High 9.8，Red Hat为Critical（初步），SUSE为8.1已确认（内核CNA、NVD、厂商）
上游已修复版本5.10.272至7.2.10，见上文已确认（NVD中的CVE记录）
Debian已修复的内核6.1.190-1和6.12.113-1已确认（Debian跟踪页面）
Ubuntu和Red Hat已修复的内核在查看的页面中未列出进行中（厂商）
带有MPTCP监听器时的远程代码执行据报道已由一家AI公司的研究人员在实验室中展示据报道（BleepingComputer、Go项目的安全团队）
没有MPTCP时的远程代码执行未公开展示；Go项目的安全团队警告类似的攻击可能存在尚不清楚
在野利用无确认；11月1日不在CISA KEV中尚不清楚
NVD自己的评分尚未给出（状态Received）尚不清楚

信息来源

2026年11月1日查看。

更新记录

2026-11-01：首版，基于截至11月1日的NVD、Debian、Ubuntu、Red Hat和SUSE页面、Go项目的安全公告以及BleepingComputer的报道。

延伸阅读

最新快讯

FAQ

QCVE-2026-98432是什么？
A

Linux内核IPv4 TCP代码中的一个释放后使用漏洞。内核用普通的释放方式释放了附加在连接请求上的IP选项，而内核的另一部分仍可能读取它们，例如在创建子套接字期间收到重传的SYN时。内核项目的CNA将其评为CVSS v3.1 9.8（网络攻击、无需权限、无需用户交互）。根据CVE描述，IPv6不受主要问题影响。

Q没有MPTCP的服务器就安全吗？
A

不能据此认为安全。BleepingComputer报道的远程代码执行演示（来自该公司自己的报告，该媒体并未核实）使用了MPTCP监听器，但Go项目的安全团队表示，该漏洞并非MPTCP所特有，没有MPTCP监听器的系统也可能面临类似的攻击。据BleepingComputer称，针对普通TCP服务器的远程代码执行尚未公开展示，因此在这种情况下应把风险视为真实存在但尚未得到证实。

Q它正在被在野利用吗？
A

在我们查看的来源中没有报告确认的利用。BleepingComputer截至10月30日未报告任何利用，并且本站11月1日查看时，该CVE不在CISA的已知被利用漏洞目录中。已有报道称一家AI公司的研究人员在实验室中做了演示，所以出现可用利用代码的时间可能很短。

Q哪些内核版本已修复？
A

CVE记录将5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56和7.2.10及之后的版本列为不受影响。发行版会回移植修复，所以请以软件包版本为准：Debian 12（bookworm）6.1.190-1和Debian 13（trixie）6.12.113-1已修复。在本站11月1日查看的页面中，Ubuntu和Red Hat尚未发布已修复的内核。

Q我可以直接关闭MPTCP吗？
A

这可以减少暴露，但不是修复。BleepingComputer报道称，仅禁用MPTCP并不足够，因为普通TCP流量仍可触及该缺陷，Go项目的安全团队也称按程序禁用的做法很脆弱。请安装已修复的内核并重启。

QRed Hat的缓解措施是什么？
A

Red Hat的公告RHSB-2026-016描述了一种数据包过滤器，用于丢弃携带IP选项的传入IPv4 TCP数据包。Red Hat称，过滤可以减少暴露，但不能替代打补丁，应先测试，并在内核修复后移除。