CVE-2026-98432 în kernelul Linux: ce trebuie să verifice administratorii de VPS și servere dedicate

CVE-2026-98432 este un use-after-free în codul IPv4/TCP al kernelului Linux (stabilirea conexiunilor). Anunțul upstream datează din 15 octombrie 2026; Red Hat a publicat RHSB-2026-016 pe 30 octombrie 2026, cu impact Critical (CVSS 9.8). Un atacator neautentificat pe rețea poate provoca DoS sau corupție de memorie; o exploatare fiabilă cere timing precis.

Acest articol descrie problema, starea pe distribuții confirmate (inclusiv CloudLinux) și diferența dintre mitigare și remediere. Pentru reboot după update: kernel instalat versus kernel activ. Pentru cine aplică patch-ul pe VPS: responsabilități client / furnizor.

Mecanism (pe scurt)

Un SYN cu opțiuni IPv4 păstrează opțiunile pentru SYN-ACK. La retransmitere concurentă, kernelul poate citi memoria după eliberare. Migrarea request socket-urilor (net.ipv4.tcp_migrate_req) ridică un scenariu similar; pe multe instalări nu e activă implicit. Problema principală descrisă upstream nu afectează IPv6 în același fel.

Stare pe distribuții (fără extrapolări)

• RHEL 8, 9, 10 și produsele pe kernel RHEL — afectate (RHSB-2026-016). Remedierea completă: update de kernel pe canalul Red Hat, când fixul e disponibil.
• AlmaLinux 8, 9, 10 — afectate; pe 30 octombrie 2026 AlmaLinux a publicat kernel-uri remediate în repository-ul testing, nu automat pe canalul stabil de producție.
• Ubuntu — tracker-ul CVE listează remedieri în lucru pe mai multe release-uri; nu presupune patch final fără consultarea paginii Ubuntu.
• Debian — security tracker indică stări „fixed” pe anumite ramuri; confirmă pachetul local în tracker.

Situația CloudLinux și KernelCare

Verificare pe sursele CloudLinux (blog + status page): 1 noiembrie 2026. Blogul CloudLinux pentru acest CVE notează ultima actualizare la 30 octombrie 2026, 22:55 UTC. Statusul se poate schimba; reîncarcă sursele înainte de intervenție.

CloudLinux 7 (kernel 3.10) nu este afectat — codul vulnerabil apare din Linux 4.4. CloudLinux 7 hybrid (7h), cu kernel 4.18, este afectat, spre deosebire de CL7 clasic.

Instalarea unui kernel nou pe disc nu activează remedierea până la restart (sau până la un livepatch KernelCare efectiv aplicat). CloudLinux recomandă KernelCare când reboot-ul de urgență nu e sustenabil; pentru acest CVE, livepatch-ul era încă în pregătire la data verificării. Confirmă pe server cu kcarectl --patch-info înainte să tratezi sistemul ca remediat prin livepatch.

# După ce livepatch-ul este publicat (verifică blogul/status):
kcarectl --patch-info | grep CVE-2026-98432
# Folosește --patch-info, nu doar --info

MPTCP dezactivat implicit pe CL8/9/10 nu elimină necesitatea fixului: defectul e în TCP obișnuit. Confirmă: sysctl net.mptcp.enabled.

Mitigare temporară: Red Hat și AlmaLinux (nu CloudLinux)

CloudLinux afirmă explicit că nu există o mitigare care să îndeplinească criteriile lor; remediul este update-ul de kernel sau livepatch-ul. Filtrarea nftables nu este politica recomandată de CloudLinux pentru acest CVE.

Red Hat (RHSB-2026-016) documentează o filtrare care reduce expunerea, fără a înlocui remedierea. Exemplul de mai jos este pentru Red Hat; creează fișierul, validează-l, aplică-l, verifică-l.

Conținutul fișierului cve-2026-98432.nft (nu este o comandă shell):

table inet cve_2026_98432 {
    chain input {
        type filter hook input priority -310; policy accept;
        ip protocol tcp ip hdrlength > 5 counter drop
    }
}

Comenzi pentru validare, aplicare și verificare (după ce fișierul există pe disc):

sudo nft --check --file cve-2026-98432.nft
sudo nft --file cve-2026-98432.nft
sudo nft list table inet cve_2026_98432

AlmaLinux publică o variantă pe tabel ip / hook prerouting (compatibilă cu firewalld în testele lor pe AlmaLinux 8/9/10). Regula nu persistă după reboot.

Conținutul regulii AlmaLinux (bloc separat de shell):

add table ip cve_2026_98432
delete table ip cve_2026_98432
table ip cve_2026_98432 {
    chain prerouting {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength > 5 counter drop
    }
}

Aplicare și verificare pe AlmaLinux:

sudo nft -f - <<'EOF'
add table ip cve_2026_98432
delete table ip cve_2026_98432
table ip cve_2026_98432 {
    chain prerouting {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength > 5 counter drop
    }
}
EOF
sudo nft list table ip cve_2026_98432

Limite (AlmaLinux): poate afecta CIPSO/NetLabel; traficul între containere pe același host poate ocoli filtrul; IPv6 nu necesită regula. Niciuna dintre variante nu este remediere completă.

Elimină numai tabela creată pentru această intervenție, după ce kernelul remediat este confirmat activ (uname -r / changelog), nu doar instalat pe disc:

sudo nft delete table inet cve_2026_98432   # dacă ai folosit varianta Red Hat
# sau
sudo nft delete table ip cve_2026_98432     # dacă ai folosit varianta AlmaLinux

Remediere

1. Instalează kernelul din canalul potrivit versiunii (producție / staged / testing — fără a confunda canalele).
2. Repornește sau aplică livepatch-ul când e disponibil și verificat.
3. Confirmă versiunea activă; elimină regula nftables doar dacă a fost creată și doar după confirmare.

Alte dezvăluiri ZDI din octombrie (fără CVE) sunt separate: RHSB-2026-014 și ZDI-CAN.

Pe un VPS sau un server dedicat XSERVERE cu acces root, update-ul din guest rămâne în procedura de administrare a serverului. Starea pe nodurile de virtualizare sau pe imaginile de produs trebuie verificată separat pe fiecare sistem, pe baza kernelului activ și a surselor furnizorului.

Data verificării surselor pentru această versiune a articolului: 1 noiembrie 2026.