# CVE-2026-98432: уязвимость TCP в ядре Linux

## Оповещение об уязвимости

> [!IMPORTANT]
> **Опубликовано:** 4 ноября 2026 г.
> **Что сделать:** обновите ядро на каждой Linux-ВМ и перезагрузите ее. Если ваша ОС больше не поддерживается, перейдите на поддерживаемую версию.

---

### Что произошло

**CVE-2026-98432** — уязвимость в коде ядра Linux, который обрабатывает TCP-соединения IPv4 (ошибка use-after-free). Она есть в ядре начиная с версии 4.4, поэтому затрагивает почти все используемые сегодня дистрибутивы Linux.

- Команда CVE ядра Linux оценила уязвимость в **9,8 из 10 (критическая)**. Red Hat оценивает ее ниже — **8,1 (важная)**, — потому что для эксплуатации нужно выиграть состояние гонки.
- Anthropic сообщила, что ее внутренняя исследовательская ИИ-модель создала работающий эксплойт, который дает злоумышленнику удаленный доступ **root** без пароля. Эксплойт нацелен на серверы с MPTCP-слушателем (multipath TCP).
- На момент публикации публичного эксплойта нет, и атак не зафиксировано. Но теперь, когда уязвимость известна, попытки ее использовать стоит ожидать.

**Windows-ВМ и другие системы, кроме Linux, не затронуты.**

### Кому нужно действовать

**Ядро внутри вашей ВМ находится под вашим управлением** — платформа не может обновить его за вас. Выполните шаги ниже на каждой Linux-ВМ, включая недавно созданные.

### Как защитить ВМ

**1. Сделайте снимок** ВМ перед обновлением. См. **[Создание снимка ВМ](../../vm-snapshots/create-instance-snapshot.md)**.

**2. Установите обновления и перезагрузите ВМ:**

```bash
# Ubuntu и Debian
sudo apt update && sudo apt upgrade -y && sudo reboot

# Rocky Linux, AlmaLinux, RHEL, Oracle Linux
sudo dnf update -y && sudo reboot

# SUSE
sudo zypper refresh && sudo zypper patch && sudo reboot
```

**Перезагрузка обязательна**: до нее продолжает работать уязвимое ядро.

**3. Проверьте, что ядро исправлено.** После перезагрузки узнайте версию ядра:

```bash
uname -r
```

Сравните ее с исправленной версией на странице уязвимости у своего дистрибутива:

- Ubuntu: [ubuntu.com/security/CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432)
- Debian: [security-tracker.debian.org/tracker/CVE-2026-98432](https://security-tracker.debian.org/tracker/CVE-2026-98432)
- Red Hat Enterprise Linux и совместимые: [access.redhat.com/security/cve/CVE-2026-98432](https://access.redhat.com/security/cve/CVE-2026-98432)
- SUSE: [suse.com/security/cve/CVE-2026-98432](https://www.suse.com/security/cve/CVE-2026-98432/)

> [!NOTE]
> Исправление уже есть в основном ядре Linux, но дистрибутивы выпускают обновленные пакеты в разное время. Если `apt upgrade` или `dnf update` пока не устанавливает исправленное ядро, проверьте страницу уязвимости у своего дистрибутива позже, а до этого примените меры из шага 5.

**4. Если ваша ОС больше не поддерживается** (CentOS 7 или 8, Ubuntu 20.04 и более ранние, Debian 11 и более ранние), производитель не выпустит исправление. Перейдите на поддерживаемую версию ОС — см. **[Обновление операционной системы](../update-os.md#шаг-4-проверьте-поддерживается-ли-ваша-ос)**.

**5. Пока исправление не установлено, снизьте риск:**

- Закройте все порты, которые не должны быть доступны из интернета, и разрешите SSH только со своих IP-адресов или через VPN. См. **[Сетевой доступ](../network-access.md)**.
- Проверьте, работают ли на ВМ MPTCP-слушатели:

  ```bash
  ss -Mltn
  ```

  Если вы не используете MPTCP (на обычных серверах он используется редко), его можно отключить:

  ```bash
  sudo sysctl -w net.mptcp.enabled=0
  echo "net.mptcp.enabled = 0" | sudo tee /etc/sysctl.d/90-disable-mptcp.conf
  ```

  > [!WARNING]
  > Отключение MPTCP закрывает путь атаки, описанный Anthropic, но **не** устраняет уязвимость: ошибка находится в общем коде TCP. Используйте это только как временную меру до обновления ядра.

### Готовые образы и сетевые устройства

Если ВМ создана из готового образа приложения (например, телефонии или сетевого устройства), обновляйте ее средствами производителя этой системы и ограничьте доступ к ее веб-интерфейсу своими IP-адресами или VPN.

### Нужна помощь?

Если сервер критичный или вы не уверены, как безопасно его обновить, обратитесь в **[поддержку](../../support/support.md)** до начала работ.

> [!TIP]
> **См. также:**
>
> - **[Обновление операционной системы](../update-os.md)**
> - **[Чек-лист безопасности](../security-checklist.md)**