Удалённый злоумышленник без учётных данных может уронить необновлённый сервер через любой открытый IPv4 TCP-порт. Red Hat предупреждает, что уязвимость может привести и к удалённому выполнению кода. Anthropic описала эксплойт, который получает root на серверах с листенером Multipath TCP (MPTCP). Затронуты Linux-серверы с ядром 4.4 и новее, то есть практически все. У VPS на KVM собственное ядро, независимое от нашего хоста: обновлять его и перезагружаться нужно внутри VPS. Не затронуты: RHEL 7, CentOS 7, CloudLinux 7 (не гибридный), Windows, FreeBSD и другие не-Linux системы. Реальных атак на 2 ноября не зафиксировано, но исправление публично и доступно для анализа. Что сделать: Исправление вышло: Debian 12/13, RHEL 8/9/10, AlmaLinux 8, SLES 16.0, openSUSE Leap 16.0, SLES 15 SP4/SP5/SP6 LTSS, Proxmox VE. Сделайте бэкап, обновите ядро и перезагрузитесь. Новое ядро защищает только после перезагрузкиИсправление в тестировании или раскатывается: AlmaLinux 9/10, CloudLinux 7h/8/9/10, SLES 15 SP7. Примените временную защиту и обновитесь после выхода в стабильный репозиторийИсправления пока нет: Ubuntu 26.10/26.04/24.04/22.04, Rocky Linux 8/9/10. Ubuntu 20.04/18.04/16.04: только через Ubuntu Pro / ESM, сроков нет. Debian 11 и старше: только платная LTS. CentOS 8 / Stream 8 и другие снятые с поддержки версии: исправления не будет, переходите на поддерживаемую версию. Примените временную защиту сейчас Как обновить ядро: Debian 12/13, Ubuntu (после выхода исправления), Proxmox VE: sudo apt update && sudo apt full-upgrade sudo reboot RHEL 8/9/10, AlmaLinux, Rocky Linux, CloudLinux: sudo dnf --refresh updateinfo info --cves CVE-2026-98432 sudo dnf update 'kernel*' sudo reboot openSUSE / SLES: sudo zypper refresh && sudo zypper patch && sudo reboot Временная защита: Отбрасывайте входящие IPv4 TCP-пакеты с IP-опциями, обычный трафик их не использует. Правило опубликовал Red Hat (RHSB-2026-016), он советует сначала проверить его на вашем трафике. Создайте каталог: sudo mkdir -p /etc/nftables.d Сохраните правило в /etc/nftables.d/cve-2026-98432.nft: table inet cve_2026_98432 { chain input { type filter hook input priority -310; policy accept; ip protocol tcp ip hdrlength > 5 counter drop } } Загрузите и проверьте: sudo nft --check --file /etc/nftables.d/cve-2026-98432.nft sudo nft --file /etc/nftables.d/cve-2026-98432.nft sudo nft list table inet cve_2026_98432 Если сервер маршрутизирует трафик в Docker или LXC, замените хук на prerouting. Не применяйте фильтр в сетях с метками безопасности CIPSO / NetLabel Чтобы правило сохранилось после перезагрузки, добавьте строку include "/etc/nftables.d/cve-2026-98432.nft" в /etc/nftables.conf (Debian/Ubuntu) или /etc/sysconfig/nftables.conf (семейство RHEL) и выполните sudo systemctl enable nftables На системах только с iptables: sudo iptables -t raw -I PREROUTING -p tcp -m u32 --u32 "0>>24&0x0F=6:15" -j DROP Отключите Multipath TCP, если он не нужен: sudo sysctl -w net.mptcp.enabled=0 echo 'net.mptcp.enabled = 0' | sudo tee /etc/sysctl.d/99-cve-2026-98432.conf Затем перезапускайте сервисы, которые показывает эта команда, пока её вывод не станет пустым: sudo ss -lnMp Это сужает атаку, но не устраняет уязвимость: ошибка не специфична для MPTCP Временная защита снижает риск, но не заменяет обновление ядра. Бюллетень Red Hat: access.redhat.com/security/vulnerabilities/RHSB-2026-016 Статус исправления для Ubuntu: ubuntu.com/security/CVE-2026-98432 Нужна помощь? Напишите нам: ishosting.io/ru/support...