Ubuntu CVE-2026-98432 的修复已在 proposed 软件源中提供

引言

我们收到了许多关于 CVE-2026-98432 的疑问。这是一个 Linux 内核在建立 IPv4 TCP 连接时存在的缺陷，影响 4.4 及以上版本的 Linux 内核。

该漏洞的 CVSS 3.1 评分为 9.8，属于高危级别。

我们的团队目前正在测试针对 Ubuntu 22.04 LTS 及更新版本的 CVE-2026-98432 修复方案。修复补丁目前已在 -proposed 软件源中提供。对于自行运行内核验收测试的用户，可以根据我们加速 CVE 修复交付的新 SRU 策略选择应用这些修复。针对仍然受支持的较旧 Ubuntu 版本的修复也将陆续推出。

为了确保在广泛生态系统中的稳定性，我们在超过 2000 台经过认证的服务器和设备上进行了大量测试。测试完成后，我们将立即在 Ubuntu 归档的 updates 软件源中发布这些修复，并更新本文以提供更多详情。用户也可以访问我们的 CVE 状态页面 查看最新信息。

哪些 Ubuntu 版本受 CVE-2026-98432 影响？

如何检查你是否受 CVE-2026-98432 影响

在你的系统上运行以下命令，获取当前正在运行的内核版本，并将其与上表进行比较。

uname -r

使用以下命令可以获取已安装的内核软件包列表：

dpkg -l 'linux-image*' | grep ^ii

CVE-2026-98432 的影响

该漏洞影响 Linux 内核中的 IPv4 TCP 连接处理，可能导致远程代码执行（RCE）。Anthropic 生成的尚未发布的利用程序被描述为使用了多路径 TCP（MPTCP），尽管该漏洞并非 MPTCP 特有。截至撰写本文时，尚无可信的其他利用程序已被生成或发布。

如何应用 CVE-2026-98432 的修复

要启用 -proposed 软件源，请按照此说明操作。或者，你可以使用以下命令启用 Ubuntu 归档 main 组件（涵盖 Linux 内核镜像）的 -proposed 软件源：

sudo add-apt-repository --component main --pocket proposed http://archive.ubuntu.com/ubuntu

来自 -proposed 软件源的软件包默认不会被选为升级项。你需要通过指定与你发行版对应的 -proposed 软件源来显式安装该软件包。例如，如果你的内核是通过元软件包安装的，可以使用以下命令：

sudo apt update
dpkg-query -W -f '${source:Package}\t${binary:Package}\n' | awk '$1 ~ "^linux-meta" { print $2 }' | xargs sudo apt install -t $(. /etc/os-release && echo $VERSION_CODENAME)-proposed --only-upgrade

Linux 内核安全更新安装完成后，需要重启系统：

sudo reboot

Ubuntu 26.10、26.04 LTS、24.04 LTS 和 22.04 LTS 作为标准支持的一部分，均可接收这些修复。

如果你使用的是 Ubuntu 20.04 LTS 或更旧版本，Ubuntu Pro 订阅可提供长达 15 年的支持覆盖。Ubuntu 20.04 LTS 和 18.04 LTS 由扩展安全维护（ESM）覆盖，而 Ubuntu 16.04 LTS 和 14.04 LTS 则需要带有 Legacy 插件的 ESM。Ubuntu Pro 对最多 5 台机器（社区成员最多 50 台机器）免费。Ubuntu Pro 还提供对 Landscape 的访问，使你能够控制整个资产范围内的安全修复推送。

CVE-2026-98432 的缓解措施

各来源正在推荐禁用多路径 TCP（MPTCP）的缓解措施，但请注意，CVE 修复并非 MPTCP 特有。这些建议完全基于 Anthropic 生成的尚未发布的利用程序被描述为使用了 MPTCP 这一事实；尚无可信的其他利用程序已被生成或发布。Ubuntu 安全团队认为，安全更新是唯一适当的缓解措施。对于 Ubuntu 22.04 LTS 及更新版本，这些更新目前正处于资格测试阶段，如上所述，可在 -proposed 软件源中获取。