Lỗi kernel Linux Infinity Core là nhóm 6 lỗ hổng trong lõi kernel được nhà nghiên cứu Hyunwoo Kim công bố trên oss-security ngày 16/10/2026, kèm mã khai thác công khai. Theo nhà nghiên cứu, 5 trong 6 lỗi dùng được để leo quyền root hoặc thoát khỏi container. Red Hat, AlmaLinux, Rocky Linux và Debian đã có kernel vá. Ubuntu, bản phân phối phổ biến nhất trên VPS, vẫn đang chờ kernel mới cho các bản LTS còn hỗ trợ.

Tóm tắt nhanh

  • Loại lỗi: leo quyền cục bộ, từ tài khoản thường lên root; không phải lỗi từ xa.
  • Exploit: đã công khai, thử thành công trên Ubuntu 26.04 với 4 lỗi.
  • Lỗi đáng chú ý nhất: CVE-2026-98260 (POSIX CPU timer), ảnh hưởng kernel từ 5.7.
  • Đã vá: RHEL/AlmaLinux/Rocky 9 và 10, Debian 12 và 13, CloudLinux 9 và 10.
  • Chưa vá: Ubuntu 22.04, 24.04, 26.04 (theo trang Ubuntu cập nhật 22/10/2026).
  • Giảm nhẹ: không có cách tạm thời đáng tin, phải cập nhật kernel và khởi động lại.

Sáu lỗi trong Infinity Core

CVEThành phầnKernel bị ảnh hưởngBản upstream đã vá
CVE-2026-98260POSIX CPU timerTừ 5.76.6.158, 6.12.112, 6.18.54, 7.2.8
CVE-2026-98256SignalTừ 6.156.18.54, 7.2.8
CVE-2026-89754Quản lý bộ nhớTừ 7.0 và một số bản 6.18, 6.196.18.50, 7.2.4
CVE-2026-80775FutexTừ 6.176.18.47, 7.1.11, 7.2.1
CVE-2026-98385Bộ lập lịchTừ 7.27.2.9
CVE-2026-97941SLUB (gây kernel panic)Từ 7.27.2.7

Kernel doanh nghiệp được backport bản vá riêng, nên số phiên bản upstream ở trên không áp dụng trực tiếp cho RHEL hay Ubuntu. Hãy đối chiếu với trang bảo mật của từng bản phân phối.

Lỗi timer CVE-2026-98260 là lỗi use-after-free: khi một luồng không phải luồng chính gọi exec() và bước sau thất bại, timer có thể bị giải phóng khi vẫn còn trong hàng đợi. Ubuntu xếp lỗi này mức High, CVSS 7.8.

Tình trạng vá theo bản phân phối

  • RHEL 9, AlmaLinux 9, Rocky Linux 9: kernel 5.14.0-687.59.1.el9_8 (RHSA-2026:86033). RHEL 8 không bị ảnh hưởng bởi lỗi timer.
  • RHEL 10, AlmaLinux 10, Rocky Linux 10: kernel 6.12.0-211.67.1.el10_2 (RHSA-2026:85321).
  • Debian 12 (bookworm): linux 6.1.190-1. Debian 13 (trixie): linux 6.12.113-1 (DSA-6568-1).
  • CloudLinux 9, 10: đã vá cùng phiên bản với RHEL; CloudLinux 7, 8 đang phân tích.
  • Ubuntu 24.04 LTS: đang chuẩn bị bản sửa trong 6.8.0-148.148.
  • Ubuntu 26.04 LTS: đang chuẩn bị bản sửa trong 7.0.0-42.42.
  • Ubuntu 22.04 LTS: bị ảnh hưởng, chưa có số phiên bản sửa.

Theo webhosting.today, kernel 6.8 chuẩn của Ubuntu 24.04 không bị ảnh hưởng bởi các lỗi signal, bộ nhớ và futex, nhưng kernel HWE 7.0 tùy chọn thì có.

Chủ VPS và nhà cung cấp hosting cần làm gì?

  1. Xem kernel đang chạy: uname -r, rồi so với danh sách trên. Kernel mới chỉ có hiệu lực sau khi khởi động lại.
  2. RHEL, AlmaLinux, Rocky: sudo dnf update kernel rồi sudo reboot.
  3. Debian: sudo apt update && sudo apt full-upgrade rồi khởi động lại.
  4. Ubuntu: theo dõi trang CVE của Ubuntu và chạy sudo apt update && sudo apt full-upgrade ngay khi kernel mới phát hành. Kiểm tra cần khởi động lại bằng ls /var/run/reboot-required.
  5. Trong lúc chờ: hạn chế ai được cấp shell, tắt tài khoản không dùng, theo dõi dmesg hoặc journalctl -k để phát hiện oops, panic bất thường.
  6. Nhà cung cấp shared hosting, container: tách khách hàng không tin tưởng nhau sang máy ảo riêng thay vì chung một kernel. CloudLinux lưu ý CageFS không chặn được các lỗi này.

Nếu bạn đang dùng shared hosting hoặc container chung với người lạ, một VPS chạy kernel riêng giúp bạn chủ động cập nhật và không phụ thuộc vào người dùng khác trên cùng máy. Có thể xem thêm hướng dẫn bảo mật VPS Ubuntu 24.04 trong 30 phút đầu.

Nguồn tham khảo