@somelij Обсудить задачу
Обсудить задачу
Telegram Viber

Пн–Пт 9:00–20:00

статья /

Уязвимость ядра Linux CVE-2026-98432: что сделать с сервером сайта

В коде ядра Linux, который принимает TCP-соединения, нашли ошибку. Через неё можно удалённо уронить сервер, а в худшем случае — выполнить на нём код с правами root. Затронуты ядра начиная с версии 4.4, то есть почти любой сервер с сайтом. Решение — обновить ядро и перезагрузить сервер.

опубликовано
11.11.2026 · обновлено 11.11.2026
оценка опасности
9,8 из 10 (CVSS 3.1, Red Hat и Ubuntu)
атаки
на 11.11.2026 не подтверждены
01 / коротко

Коротко

  • Ошибка в обработке входящих TCP-соединений по IPv4: повторный запрос на соединение с IP-опциями заставляет ядро обратиться к уже освобождённой памяти.
  • Входить на сервер не нужно: хватает доступа к любому открытому TCP-порту — например, к порту сайта.
  • Уязвимость опубликована 15 октября 2026 года. 27 октября Anthropic описала рабочую атаку до прав root, но код не опубликовала.
  • Исправленные ядра вышли: Red Hat — 1 ноября, Ubuntu — для 22.04 и новее к 9 ноября, Debian — для 12 и 13.
  • Подтверждённых атак на 11.11.2026 нет, в список CISA уязвимость не внесена. С 2 ноября исследователь Маркус Хатчинс видит массовую проверку серверов в интернете.
  • Без перезагрузки обновление ядра не действует.
02 / падения сервера

Может ли из-за неё упасть сервер

Может. Red Hat пишет, что ошибка способна уронить систему целиком. По сообщениям исследователей, в открытом доступе уже есть скрипты, которые используют её именно для отказа в обслуживании.

При этом авторы атаки до root сообщают, что неудачная попытка сервер не роняет. Массовые падения сайтов этой уязвимостью публично пока никто не объяснил.

Если сервер перезагружался сам или зависал, проверьте журнал ядра за прошлый запуск:
journalctl -k -b -1 | grep -E "ip_options_build|ip_build_and_send_pkt|skb_under_panic"

Совпадения — серьёзный повод обновить ядро немедленно.

03 / ядра

Исправленные ядра

система ядро с исправлением
Ubuntu 26.04 7.0.0-43.43
Ubuntu 24.04 6.8.0-149.149
Ubuntu 22.04 5.15.0-203.213
Ubuntu 20.04, 18.04, 16.04 в работе — выйдет через ESM
Debian 13 6.12.113-1 и новее (DSA-6568-1)
Debian 12 6.1.190-1 (DLA-4841-1)
RHEL 9 5.14.0-687.64.1.el9_8 (RHSA-2026:93412)
RHEL 10, RHEL 8 на 11.11.2026 в бюллетене Red Hat RHSB-2026-016 номера ядер не указаны

Это основные ядра. Для дополнительных ядер Ubuntu — HWE в 22.04 и 24.04 — на 11.11.2026 исправление ещё в работе. AlmaLinux, Rocky и другие сборки на основе RHEL выпускают исправления сами — смотрите бюллетень своего дистрибутива.

04 / проверка

Как проверить сервер

# какое ядро работает сейчас
uname -r

# какие ядра установлены: Ubuntu, Debian
dpkg -l 'linux-image*' | grep ^ii

# какие ядра установлены: RHEL, AlmaLinux, Rocky
rpm -q kernel

Сравните uname -r с таблицей. Если исправленное ядро установлено, но сервер после этого не перезагружали, — работает старое, уязвимое.

05 / что сделать

Что сделать

  1. шаг 01

    Резервная копия или снимок сервера

    У большинства хостингов снимок VPS делается в панели.

  2. шаг 02

    Обновление ядра

    Ubuntu и Debian: sudo apt update && sudo apt upgrade. RHEL, AlmaLinux, Rocky: sudo dnf update kernel.

  3. шаг 03

    Перезагрузка

    sudo reboot. Без неё работает старое ядро. Простой — обычно несколько минут, удобнее ночью.

  4. шаг 04

    Проверка версии

    uname -r должен показать ядро из таблицы или новее.

  5. шаг 05

    Проверка сайта и обменов

    После перезагрузки не всё поднимается само: очереди, обработчики заданий, обмены с CRM и 1С по расписанию. Проверьте, что заказы уходят в CRM, остатки приходят на сайт, письма отправляются.

06 / временный фильтр

Если перезагрузить сейчас нельзя

Red Hat и Ubuntu предлагают временный фильтр: он отбрасывает входящие TCP-пакеты с IP-опциями. Обычному сайту такие пакеты не нужны.

sudo nft add table inet cve_2026_98432
sudo nft add chain inet cve_2026_98432 input '{ type filter hook input priority -310; policy accept; }'
sudo nft add rule inet cve_2026_98432 input ip protocol tcp ip hdrlength gt 5 counter drop
  • Действует сразу, перезапускать сайт не нужно.
  • Держится до перезагрузки. Чтобы сохранить его, правило переносят в /etc/nftables.conf.
  • Защищает сам сервер, но не контейнеры со своей сетью.
  • Снижает риск, но не закрывает уязвимость: обновление всё равно нужно.
  • После обновления и перезагрузки фильтр снимается: sudo nft delete table inet cve_2026_98432.

Отключение MPTCP, которое советуют в некоторых статьях, не защищает: Red Hat и Ubuntu прямо пишут, что это не мера защиты.

07 / ещё уязвимости

Ещё две уязвимости ядра — закрыть заодно

  • CVE-2026-31431, «Copy Fail»

    Ошибка в модуле шифрования ядра algif_aead. Работает только изнутри сервера: обычный пользователь получает права root. Опубликована 29 апреля 2026 года вместе с готовым эксплойтом, есть модуль для Metasploit. По данным Red Hat, с 1 мая — в списке CISA. Исправлена ещё в мае: если ядро обновлено ради CVE-2026-98432, исправление уже в нём.

  • CVE-2026-31695

    Ошибка в драйвере virt_wifi, тоже изнутри сервера: сбой системы или права root. Исправлена в обновлениях ядра Ubuntu 22.04 и 24.04, Debian 12 и 13.

  • Почему это важно вместе с PHP2Shell

    Уязвимости, которые работают только изнутри сервера, опасны в паре с уязвимостями сайта. Через PHP2Shell атакующий выполняет код от имени пользователя сайта, а уязвимость ядра поднимает его до root — и сервер оказывается в чужих руках целиком. Поэтому PHP и ядро стоит обновлять вместе.
Временная мера для Copy Fail в Ubuntu и Debian — отключить модуль:
echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/manual-disable-algif_aead.conf
sudo rmmod algif_aead

В RHEL модуль встроен в ядро, и так отключить его нельзя: Red Hat предлагает параметр загрузки initcall_blacklist=algif_aead_init.

08 / источники

Источники

09 / помощь

Помощь с обновлением

Работа удалённо — по доступу к серверу.

  • Проверка ядра, PHP и пакетов, от которых зависит сайт.
  • Снимок сервера, обновление ядра и перезагрузка в согласованное время.
  • Временный фильтр, если перезагрузить сразу нельзя.
  • Проверка после перезагрузки: сайт, очереди, обмены с CRM и 1С по расписанию.
  • Заодно — проверка PHP на PHP2Shell.

Цена: 50 BYN/час. После разбора сервера называется оценка — одно число часов, без вилки. Оплата — по этой оценке: если работа займёт больше времени, сумма не меняется. Срочно, в выходные или ночью — ×1,5.

10 / вопросы

Вопросы

Сайт на виртуальном хостинге. Меня это касается?

Ядро на виртуальном хостинге обновляет хостинг — спросите поддержку про CVE-2026-98432. Если у вас VPS или выделенный сервер, ядро обновляете вы или ваш администратор.

Сайт работает в Docker. Обновлять контейнеры?

У контейнеров нет своего ядра — они работают на ядре сервера. Обновлять и перезагружать нужно сам сервер.

Сервер за Cloudflare. Это защищает?

Только если открытые порты сервера недоступны напрямую из интернета. Если до сервера можно достучаться по IP в обход Cloudflare, уязвимость доступна.

Можно обойтись без перезагрузки?

Только с live-патчами — например, Canonical Livepatch или KernelCare, если они у вас подключены. Есть ли там исправление CVE-2026-98432, уточняйте у поставщика. В остальных случаях перезагрузка обязательна.

Сколько стоит обновление?

50 BYN/час. Оценка — одно число часов после разбора сервера, оплата — по ней. Если работа займёт больше времени, сумма не меняется. Срочно, в выходные или ночью — ×1,5.

11 / по теме
12 / заявка

Нужно обновить сервер?

На заявки отвечает Савелий — без менеджеров.

Или напишите напрямую: Telegram @somelij Viber +375 44 710-50-58
Например: «VPS на Ubuntu 22.04, сайт на 1С-Битрикс, обмен с 1С»
Обсудить задачу Telegram