CVSS 9.8：一个存在十年的 Linux 内核漏洞，可从远程、无需登录触发。企业现在应做什么、各发行版的进展，以及我们的补丁服务。

Linux 内核中存在一个已潜伏十年的漏洞，攻击者可以从远程且无需登录触发。只需一个开放的 TCP 端口。该漏洞编号为 CVE-2026-98432，内核安全团队给出的评分为 CVSS 9.8（满分 10）。2026 年 10 月 27 日，Anthropic 演示了可通过该漏洞以 root 权限执行命令。此后，各发行版动作频频，但推进速度并不一致。

漏洞是啥？

该缺陷位于内核中接收新的 IPv4 TCP 连接的部分。如果连接的第一个报文（SYN）携带特定的 IP 选项，例如 Record Route 或 Timestamp，内核会把这些选项存放在一小块内存区域中。如果攻击者在内核正在完成或丢弃第一个请求时再次发送同一个 SYN，两个 CPU 核心就可能同时访问这块内存：一个释放它，另一个仍在读取它。专家称之为 use-after-free（释放后使用）。最轻的情况下服务器崩溃，最坏的情况下攻击者会写入内核内存。

该缺陷于 2016 年 1 月随 Linux 4.4 引入。因此，实际上过去十年内上线的每一台 Linux 服务器都受影响，带有 Linux 内核的防火墙、NAS 系统和虚拟机管理程序同样受影响。IPv6 连接不受此缺陷影响。

发现该漏洞的是 Anthropic 研究员 Xinyang Ge。内核开发者 Eric Dumazet 的修复于 2026 年 10 月 5 日合入内核，CVE-2026-98432 编号于 10 月 15 日分配，10 月 24 日定级为 9.8。已修复的稳定内核为 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10 和 7.3。

为什么该漏洞如此严重

长期以来，该缺陷被视为崩溃风险。Red Hat 起初将其评为 5.9「中等」，因为 CPU 核心之间的竞态很难赢得。随后，Anthropic 于 10 月 27 日发布报告称，一个内部、未公开的 AI 模型构建出了一个可用的漏洞利用。流程简述：攻击者不断触发竞态，直到内核误向其多返回几个字节。如果这些字节中包含一个内核地址，地址空间保护 KASLR 就被绕过。测试中这一步耗时 48 分钟。随后同一个缺陷覆写一个函数指针，5 分钟后一条命令即以 root 权限运行。一次失败的尝试不会导致服务器崩溃，因此攻击者可以任意多次继续尝试。

Anthropic 未公开利用代码。验证是在一台运行多路径 TCP 监听器（MPTCP）的服务器上完成的。这听起来很特殊，但已不再如此：自 Go 1.24 起，用 Go 编写的服务在 Linux 上默认开启支持 MPTCP 的监听器，而开发者和运维人员甚至无需知情。数据中心里很多工具都是用 Go 编写的。但重要的是：缺陷位于普通的 IPv4 TCP 代码中。关闭 MPTCP 并不能消除该漏洞，只会增加目前所展示的代码执行路径的难度。

Red Hat 已分两步将其评级上调为「严重」，9.8，并于 10 月 30 日发布了其安全公告（RHSB-2026-016）。截至截稿时，尚无在野攻击的已知信息，该漏洞也尚未进入美国机构 CISA 的 KEV 目录。但压力依然很大，因为 AI 模型能在一小时内达成目标，攻击者同样也能做到。

各发行版状态（2026 年 10 月 31 日）

  • Debian：已修复。Debian 12 自内核 6.1.190-1 起（DLA-4841-1），Debian 13 自 6.12.113-1 起（DSA-6568-1）。
  • Ubuntu：尚无更新。22.04、24.04、26.04 和 26.10 的内核正在处理中，20.04 及更早版本暂无修复。
  • Red Hat Enterprise Linux 8、9 和 10：受影响，修复已宣布并加速推进，迄今尚未发布。RHEL 7 因内核较旧而不受影响。
  • AlmaLinux 8、9 和 10：自 10 月 30 日起，修补后的内核已进入 Testing 仓库，早于 Red Hat。
  • Rocky Linux：受影响，尚无内核。
  • SUSE：大多数版本已修复，SLES 15 SP7 仍待处理。
  • Oracle Linux（UEK）：自 10 月 16 日起已修复。
  • Amazon Linux 2023：kernel6.12 和 kernel6.18 已修复，默认内核和 Amazon Linux 2 仍待处理。

对于内置 Linux 的设备，例如防火墙、NAS 或电话交换系统，依然适用：只有厂商才能提供固件。像 Proxmox VE 这样的虚拟机管理程序也运行在 Linux 内核上，也应列入检查清单。

您现在应该做什么

  1. 检查内核版本：uname -r 显示正在运行的内核。对于 Debian、Ubuntu 和 Red Hat，仅看版本号意义不大，因为修复是通过向后移植实现的。应以发行版的安全公告为准。
  2. 安装更新并重启：新内核只有在重启后才生效。不希望停机的人可以使用 Live Patching，如 Ubuntu Livepatch、kpatch 或 KernelCare，前提是该发行版已为此提供补丁。
  3. 缩小攻击面：无需从互联网访问的服务应置于 VPN 或防火墙之后。管理界面和 SSH 尤其如此。
  4. 尚无内核时设置过渡规则：Red Hat、AlmaLinux 和 CIQ 建议使用一条 nftables 规则，丢弃携带 IP 选项的入站 IPv4 TCP 报文，即所有 IP 头长度超过 20 字节的报文：ip protocol tcp ip hdrlength > 5 counter drop。正常流量几乎从不使用这类选项。该规则并非完整防护，不能替代更新，且若不额外处理，重启后不会保留。使用 CIPSO 标签的网络以及同一主机上容器之间的流量属于特殊情况。
  5. 检查 MPTCP：sysctl net.mptcp.enabled 显示多路径 TCP 是否启用，ss -lnMp 列出开放的 MPTCP 监听器。若不需要，请关闭。Go 服务可通过环境变量 GODEBUG=multipathtcp=0 回退到经典 TCP。这降低了风险，但并不能消除漏洞。
  6. 检查迁移路径：net.ipv4.tcp_migrate_req 应设为 0，这也是默认值。
  7. 更新后清理：移除过渡规则，记录内核版本。

Amazon Linux

用于修复 CVE-2026-98432 的 Amazon Linux 2 与 Amazon Linux 2023 内核软件包现已可用。客户应更新内核软件包并重启。内核版本 kernel-4.14、kernel-5.4、kernel-5.10、kernel-5.15、kernel-6.1、kernel-6.12 和 kernel-6.18：现已可用。

更新方法

# Amazon Linux 2
sudo yum update kernel && sudo reboot

# Amazon Linux 2023 Kernel 6.1
sudo dnf update kernel --releasever=latest && sudo reboot

# Amazon Linux 2023 Kernel 6.12
sudo dnf update kernel6.12 --releasever=latest && sudo reboot

# Amazon Linux 2023 Kernel 6.18
sudo dnf update kernel6.18 --releasever=latest && sudo reboot