2026-11-01
Linux 核心 CVE-2026-98432：可透過網路觸發的 TCP 釋放後使用漏洞（CVSS 9.8）；請安裝已修復的核心、重新啟動並檢查 MPTCP
CVE-2026-98432 是 Linux 核心 IPv4 TCP 程式碼中的一個釋放後使用漏洞，於2026年10月15日公布。核心專案的 CNA 給出 CVSS v3.1 9.8 分（網路、無需權限、無需使用者互動）。據報導，一家 AI 公司的研究人員在實驗室中、依據其自身報告，示範了針對具有 Multipath TCP（MPTCP）監聽器的伺服器以 root 身分遠端執行程式碼。BleepingComputer 稱，針對一般 TCP 伺服器的遠端程式碼執行尚未公開展示，也未確認有在野利用，本站於11月1日在 CISA 的 KEV 目錄中沒有找到該 CVE。上游修復包含在 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56 與 7.2.10 及之後的版本中。截至11月1日，Debian 已有修復的核心，SUSE 有部分，Ubuntu 與 Red Hat 將修復列為進行中。僅停用 MPTCP 並不是完整的修復。本站的結論是：隨著修復發布，更新面向網際網路的 Linux 伺服器並重新啟動，僅在此之前使用廠商的暫行緩解措施。