2026-11-01
Linux内核CVE-2026-98432：可通过网络触发的TCP释放后使用漏洞（CVSS 9.8）；请安装已修复的内核、重启并检查MPTCP
CVE-2026-98432是Linux内核IPv4 TCP代码中的一个释放后使用漏洞，于2026年10月15日公布。内核项目的CNA给出CVSS v3.1 9.8分（网络、无需权限、无需用户交互）。据报道，一家AI公司的研究人员在实验室中、依据其自身报告，演示了针对带有Multipath TCP（MPTCP）监听器的服务器以root身份远程执行代码。BleepingComputer称，针对普通TCP服务器的远程代码执行尚未公开展示，也未确认有在野利用，本站于11月1日在CISA的KEV目录中没有找到该CVE。上游修复包含在5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56和7.2.10及之后的版本中。截至11月1日，Debian已有修复的内核，SUSE有部分，Ubuntu和Red Hat将修复列为进行中。仅禁用MPTCP并不是完整的修复。本站的结论是：随着修复发布，更新面向互联网的Linux服务器并重启，仅在此之前使用厂商的临时缓解措施。