Lỗ hổng nghiêm trọng trên Linux TCP CVE-2026-98432 yêu cầu vá lỗi ngay lập tức

Các nhân Linux stable đã nhận được một bản vá bảo mật quan trọng vào giữa tháng 10 năm 2026 cho CVE-2026-98432, một lỗ hổng use-after-free trong quá trình bắt tay TCP IPv4. Lỗi này cho phép kẻ tấn công từ xa, không cần xác thực, thực thi mã tùy ý với đặc quyền root trên các máy chủ bị ảnh hưởng. Mặc dù các nhà duy trì upstream đã giải quyết vấn đề, nhiều bản phân phối doanh nghiệp lớn vẫn còn dễ bị tổn thương tính đến cuối tháng 10.

Chuyện gì đã xảy ra

Cộng đồng nhân Linux đã gán cho CVE-2026-98432 điểm CVSS 3.1 là 9.8, đánh dấu nó ở mức Critical (Nghiêm trọng). Lỗ hổng tồn tại trong đường dẫn mã xử lý các kết nối TCP IPv4 đến, cụ thể là trong giai đoạn bắt tay ban đầu trước khi bất kỳ xác thực cấp ứng dụng nào diễn ra. Lỗi này được báo cáo bởi Xinyang Ge từ Anthropic và được sửa bởi Eric Dumazet, với bản vá được xem xét bởi Kuniyuki Iwashima.

Các nhân stable upstream đã cung cấp bản vá từ ngày 11 đến ngày 15 tháng 10 năm 2026. Các phiên bản bị ảnh hưởng bao gồm các nhánh hỗ trợ dài hạn như 5.10, 5.15, 6.1, 6.6 và 6.12, cũng như các bản phát hành mainline mới hơn. Lỗ hổng này bắt nguồn từ Linux 4.4, nghĩa là hầu hết mọi máy chủ Linux đang hoạt động đều có khả năng bị lộ nếu chưa nhận được bản vá cụ thể. Các nhánh đã đạt end-of-life trước phiên bản 5.10 không có bản vá upstream và hoàn toàn phụ thuộc vào các bản backport riêng của từng bản phân phối.

Bất chấp sự sẵn có của các bản vá upstream, tình trạng triển khai trên các bản phân phối lớn không đồng nhất. Tính đến ngày 31 tháng 10 năm 2026, tracker bảo mật của Ubuntu liệt kê tất cả các bản phát hành là "Vulnerable" (Dễ bị tổn thương), với các bản vá vẫn đang trong quá trình hoàn thiện cho các phiên bản gần đây. Red Hat Enterprise Linux (RHEL) 8, 9 và 10 cũng được liệt kê là bị ảnh hưởng mà chưa có bản vá khả dụng, mặc dù Red Hat đã nâng mức độ nghiêm trọng lên Critical. AlmaLinux đã có các nhân đã sửa trong giai đoạn thử nghiệm, trong khi Debian, SUSE, Oracle và Amazon Linux đã phát hành các bản vá cho các phiên bản được hỗ trợ của họ.

Cơ chế hoạt động

Lỗ hổng xuất phát từ một điều kiện race condition trong cách nhân quản lý bộ nhớ cho các tùy chọn kết nối TCP. Khi một máy chủ chấp nhận kết nối TCP, nó tạo một "request socket" nhẹ để theo dõi quá trình bắt tay half-open. Nếu client kết nối bao gồm các tùy chọn header IPv4, nhân sẽ lưu trữ chúng để phản hồi trong các gói tin tiếp theo. Lỗi xảy ra vì nhân truyền các con trỏ tùy chọn này sang socket đầy đủ mới mà không sao chép dữ liệu, sau đó ngay lập tức giải phóng bộ nhớ request socket gốc.

Nếu một lõi CPU khác vẫn đang đọc các tùy chọn đó để xây dựng phản hồi trong khi bộ nhớ đang được giải phóng, điều kiện use-after-free sẽ xảy ra. Điều này có thể dẫn đến việc tiết lộ bộ nhớ heap của kernel, hỏng bộ nhớ hoặc làm sập hệ thống. Các nhà nghiên cứu của Anthropic đã chứng minh rằng điều kiện race condition này có thể bị khai thác để thực thi mã từ xa. Đáng chú ý, bằng chứng khai thác (proof-of-concept exploit) của họ nhắm vào các máy chủ có listener Multipath TCP (MPTCP), vốn được bật mặc định trong các chương trình Go kể từ phiên bản 1.24. Tuy nhiên, lỗi cơ bản không chỉ giới hạn ở MPTCP, và các cấu hình khác cũng có thể bị tổn thương.

Bản vá rất tối giản, bao gồm một thay đổi bốn dòng mã thay thế các lệnh giải phóng bộ nhớ tiêu chuẩn bằng kfree_rcu(). Hàm này đảm bảo rằng bộ nhớ chỉ được giải phóng sau khi tất cả các reader đã hoàn tất truy cập, ngăn chặn điều kiện race condition. Bản vá cũng giải quyết các vấn đề tương tự trong các đường dẫn di chuyển request-socket.

Chi tiết chính

• Định danh CVE: CVE-2026-98432, được chấm điểm 9.8 Critical bởi CNA của nhân Linux.
• Loại lỗ hổng: Use-after-free trong xử lý tùy chọn bắt tay TCP IPv4.
• Hệ thống bị ảnh hưởng: Nhân Linux từ phiên bản 4.4 trở đi chấp nhận kết nối TCP IPv4.
• Trạng thái khai thác: Một exploit remote root hoạt động được tồn tại cho các máy chủ có listener MPTCP, do Anthropic phát triển.
• Trạng thái bản phân phối: Đã sửa trong Debian, SUSE, Oracle và Amazon Linux; đang chờ xử lý cho Ubuntu và RHEL tính đến ngày 31 tháng 10 năm 2026.
• Biện pháp giảm thiểu: Lọc ở cấp mạng đối với các gói IPv4 có chứa tùy chọn có thể giảm rủi ro cho đến khi các bản vá được áp dụng.

Tại sao điều này quan trọng

Đối với các kỹ sư hạ tầng và nhóm nền tảng, lỗ hổng này đại diện cho một kịch bản rủi ro cao vì nó không yêu cầu xác thực và hoạt động ở cấp giao thức mạng. Vì khai thác xảy ra trước khi mã ứng dụng chạy, các tường lửa ứng dụng web truyền thống hoặc các cơ chế xác thực cấp dịch vụ không thể ngăn chặn nó. Việc các bản phân phối lớn như Ubuntu và RHEL chưa phát hành bản vá khiến một phần đáng kể hạ tầng doanh nghiệp bị lộ trong khoảng thời gian này.

Sự liên quan của MPTCP làm tăng thêm phức tạp cho việc đánh giá rủi ro. Với việc Go 1.24 bật MPTCP mặc định, nhiều microservices hiện đại và ứng dụng cloud-native có thể vô tình phơi bày host của chúng trước cấu hình dễ bị khai thác nhất. Các nhóm chạy dịch vụ dựa trên Go trên Linux phải xác minh trạng thái nhân của họ và cân nhắc tắt MPTCP nếu họ không thể vá lỗi ngay lập tức. Sự chậm trễ trong các bản vá cấp bản phân phối có nghĩa là các chiến lược giảm thiểu chủ động, chẳng hạn như lọc mạng, là thiết yếu để duy trì tư thế bảo mật.

Bạn có thể làm gì

• Kiểm tra phiên bản nhân đang chạy bằng cách sử dụng uname -r và so sánh nó với advisory bảo mật của bản phân phối của bạn để xem bản vá có khả dụng hay chưa.
• Nếu một nhân đã được sửa đã được cài đặt, hãy khởi động lại máy chủ của bạn để kích hoạt bản vá, vì các bản cập nhật nhân không có hiệu lực cho đến khi khởi động lại.
• Đối với các hệ thống chưa thể vá lỗi, hãy triển khai các quy tắc nftables hoặc iptables để loại bỏ các gói TCP IPv4 đến chứa IP options, qua đó chặn vector tấn công.
• Tắt Multipath TCP bằng cách đặt net.mptcp.enabled = 0 trong sysctl nếu các ứng dụng của bạn không yêu cầu rõ ràng tính năng này, giúp giảm bề mặt tấn công.
• Theo dõi tracker bảo mật của bản phân phối của bạn để cập nhật, đặc biệt nếu bạn chạy Ubuntu hoặc RHEL, vì các bản vá dự kiến sẽ sớm có.
• Xác minh xem bất kỳ dịch vụ đang lắng nghe nào sử dụng MPTCP bằng cách chạy ss -Mlnp và khởi động lại các dịch vụ đó sau khi tắt MPTCP để đảm bảo thay đổi có hiệu lực.