CVE-2026-98432 là lỗ hổng trong mã xử lý kết nối TCP IPv4 của nhân Linux, được nhóm CVE của kernel chấm CVSS 9.8, có thể bị kích hoạt từ xa mà không cần đăng nhập. Lỗi tồn tại từ Linux 4.4 (đầu năm 2016), nghĩa là gần như mọi VPS và máy chủ Linux đang mở cổng ra Internet đều thuộc diện ảnh hưởng. Tính đến ngày 30/10/2026, Debian và AlmaLinux đã có kernel vá, còn Ubuntu và Red Hat Enterprise Linux vẫn đang chuẩn bị.

Tóm tắt nhanh

  • Lỗ hổng: CVE-2026-98432, use-after-free do tranh chấp (race condition) khi thiết lập kết nối TCP IPv4.
  • Mức độ: CVSS 9.8 theo nhóm CVE của kernel; Red Hat xếp mức Critical cho RHEL (điểm trên trang của Red Hat vẫn ghi là sơ bộ; một số báo trước đó dẫn mức 5.9, nên điểm có thể còn được điều chỉnh).
  • Ảnh hưởng: nhân Linux từ 4.4 trở lên; IPv6 không bị ảnh hưởng bởi lỗi chính.
  • Bản vá stable: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10.
  • Khai thác: BleepingComputer chưa ghi nhận khai thác ngoài thực tế, nhưng đã có bản exploit chiếm root trong điều kiện cụ thể.

Lỗ hổng hoạt động thế nào?

Theo thông báo của nhân Linux, hàm tcp_v4_syn_recv_sock() chuyển quyền sở hữu IP options của yêu cầu kết nối sang socket con mà không sao chép. Cùng lúc đó, một CPU khác có thể đang xử lý gói SYN gửi lại cho cùng yêu cầu và đọc vùng nhớ này. Nếu socket bị hủy trước, nhân sẽ đọc vùng nhớ đã giải phóng. Một vấn đề tương tự xảy ra khi bật cơ chế di chuyển request socket (net.ipv4.tcp_migrate_req hoặc chương trình BPF tương ứng), vốn tắt theo mặc định.

AlmaLinux cho biết lỗi chỉ bị kích hoạt bởi gói SYN mang IPv4 options gửi tới một cổng TCP IPv4 đang lắng nghe. Bản sửa upstream là commit e3f33b0a1d89 của Eric Dumazet, người báo lỗi là Xinyang Ge.

Vai trò của MPTCP và bản exploit

Anthropic cho biết một mô hình Claude nội bộ chưa phát hành đã viết được exploit vượt KASLR và chạy lệnh với quyền root trên máy chủ Linux có listener Multipath TCP (MPTCP), mất khoảng 53 phút. BleepingComputer lưu ý rằng việc chạy mã từ xa trên máy chủ không có listener MPTCP chưa được chứng minh công khai. Tuy vậy, Red Hat vẫn đánh giá hậu quả điển hình là treo máy (DoS) hoặc hỏng bộ nhớ, và việc chạy mã ổn định đòi hỏi kiểm soát heap chính xác.

Một điểm dễ bỏ sót: từ Go 1.24, listener TCP trên Linux tự bật MPTCP nếu nhân hỗ trợ, nên một số dịch vụ viết bằng Go có thể đang mở listener MPTCP mà quản trị viên không biết.

Tình trạng vá theo bản phân phối

Bản phân phốiTình trạng (30/10/2026)
Debian 12 / 13Đã vá: kernel 6.1.190-1 và 6.12.113-1
Ubuntu 22.04, 24.04, 26.04, 26.10Còn lỗ hổng, bản vá đang thực hiện
RHEL 8, 9, 10Bị ảnh hưởng, đã lên kế hoạch vá; RHEL 7 không bị ảnh hưởng
AlmaLinux 8, 9, 10Kernel vá trong kho testing
Rocky Linux 8, 9, 10Chưa có kernel vá, CIQ đưa hướng dẫn giảm thiểu
Oracle Linux, Amazon Linux, SUSEĐã có bản vá cho một số kernel

Các kernel vá của AlmaLinux: kernel-4.18.0-553.180.2.el8_10, kernel-5.14.0-687.61.2.el9_8 và kernel-6.12.0-211.69.2.el10_2. Phía nhà cung cấp hosting, SiteGround cho biết đã áp live patch lên toàn bộ máy chủ ngay trong ngày lỗi được công bố, khách hàng không cần làm gì.

Chủ VPS cần làm gì?

  1. Kiểm tra kernel: chạy uname -r và đối chiếu với trang bảo mật của bản phân phối.
  2. Cập nhật và khởi động lại: trên Debian chạy sudo apt update && sudo apt full-upgrade rồi sudo reboot. Trên AlmaLinux có thể cài từ kho testing theo hướng dẫn chính thức, sau đó tắt lại kho này trên máy chủ production.
  3. Chặn tạm nếu chưa có bản vá: AlmaLinux và CIQ đưa ra rule nftables loại bỏ gói TCP IPv4 có IP options (header dài hơn 20 byte), ví dụ meta l4proto tcp ip hdrlength > 5 counter drop ở hook prerouting. Rule không tồn tại sau khi khởi động lại, không dùng được nếu mạng cần nhãn CIPSO, và có thể không bao phủ lưu lượng giữa các container trên cùng máy.
  4. Kiểm tra MPTCP: chạy sysctl net.mptcp.enabled và sudo ss -lnMp để xem listener MPTCP. Nếu không dùng, có thể tắt, nhưng nhớ rằng tắt MPTCP không phải bản vá.
  5. Thu hẹp bề mặt tấn công: chỉ mở những cổng thật sự cần, giới hạn SSH và trang quản trị theo IP như hướng dẫn trong bài bảo mật VPS Ubuntu 24.04 trong 30 phút đầu.

AlmaLinux nhấn mạnh rằng các bước tạm thời "không phải là bản sửa lỗi". Người dùng Ubuntu nên theo dõi trang CVE của Canonical và cài kernel ngay khi phát hành. Tháng 10/2026 đã có nhiều lỗi kernel đáng chú ý như Fragnesia CVE-2026-46300 và Infinity Core, nên một lần cập nhật kernel và khởi động lại lúc này xử lý được nhiều rủi ro cùng lúc.

Nguồn tham khảo