سرور لینوکسی‌ات ممکنه همین الان آسیب‌پذیر باشه — راهنمای CVE-2026-98432 برای صاحب فروشگاه
نویسنده: آرش لطیفی — موسس The DevArt
یک حفره بحرانی (CVSS 9.8) در هسته لینوکس هنوز روی Ubuntu و RHEL پچ نشده. چک ساده، جدول نسخههای امن، و راهکار موقت تا پچ.
TL;DR — حفره بحرانی
CVE-2026-98432در هسته لینوکس (CVSS 9.8) به مهاجم اجازه میده بدون هیچ رمزی، ریموت روت بشه؛ پچ آپاستریم از ۱۵ اکتبر منتشر شده ولی کرنلهای Ubuntu و RHEL تا ۳۱ اکتبر هنوز پچ ندارن — با دو دستور چک کن و راهکار موقت رو بزن.
چه اتفاقی افتاده؟
۱۵ اکتبر ۲۰۲۶، یک حفره Use-After-Free در بخش IPv4 TCP handshake هسته لینوکس با امتیاز CVSS 9.8 (بحرانی) منتشر شد. باگ از نسخه 4.4 به بعد وجود داشته — یعنی تقریباً همه سرورهای دنیا. چیزی که این حفره رو خطرناک‌تر از صدها CVE همیشه‌جاری میکنه:
- قبل از اپلیکیشن اتفاق میافته. باگ تو همون کدی هست که هر سرور لینوکسی موقع قبول یک کانکشن TCP اجرا میکنه — یعنی حتی یه سایت استاتیک یا یه کانتینر ساده هم در معرضشه.
- بدون احراز هویت. هیچ credential لازم نیست.
- شرکت Anthropic گفته مدل Claude اکسپلویت کاری نوشته که روی سرورهای دارای
multipath TCP listenerدستور روت اجرا میکنه. تیم امنیتی Go هم گفته برنامههای Go بهصورت پیشفرض چنین listener ای باز میکنن. - اکسپلویت منتشر نشده، ولی به گفته Red Hat مهاجم میتونه با race condition به «اجرای کد ریموت» برسه؛ پیامدash نشت حافظه هسته، خرابکاری، یا کرش.
چرا صاحب فروشگاه باید اهمیت بده؟
سرور تو (VPS، هاست اختصاصی، یا حتی سرور رندر Next.js) روی همین کرنلها اجرا میشه. اگر هکر به سرور فروشگاهت دسترسی روت پیدا کنه: دیتابیس مشتریها، سشنهای لاگین، و درگاه پرداخت همهاش زیر دستشه. یه هک سرویسدهنده پرداخت یا فروشگاه بزرگ، چند روز ناگهانی ترافیک و آبرو رو نابود میکنه.
چک کن: سرور تو امنه؟
این دو دستور رو بزن (SSH):
نسخهای که میبینی باید بالای یکی از اینها باشه (بسته به شاخه):
| شاخه | نسخه امن (حداقل) | |---|---| | 7.3 | خود نسخه اصلی (18 اکتبر) | | 7.2 | 7.2.10 | | 6.18 | 6.18.56 | | 6.12 | 6.12.113 | | 6.6 | 6.6.159 | | 6.1 | 6.1.190 | | 5.15 | 5.15.223 | | 5.10 | 5.10.272 |
اگر از کرنل دیسترو استفاده میکنی (Ubuntu، RHEL، Debian)، نسخه دیسترو معمولاً پسوند جدا داره و معیارش tracker خود دیسترو است، نه عدد آپاستریم:
نکته مهم تا ۳۱ اکتبر: Ubuntu هر نسخه رو Vulnerable لیست کرده و RHEL 8، 9، 10 هنوز پچ ندارن (Red Hat شدتش رو ۳۰ اکتبر به Critical ارتقا داده). Debian، SUSE Enterprise، Oracle UEK، و Amazon Linux کرنل امن دارن.
نمیتونی الان پچ کنی؟ راهکار موقت
تا وقتی کرنل امن برسه، دو تا کار بکن (قاعده پیشنهادی Atlas):
و بعد از پچ، حتماً reboot کن — پچ نصبشده بدون ریبوت اثری نداره.
چکلیست امروز
مرتبط: کالبدشکافی takeover اکانت ChatGPT.
- [ ]
uname -rزدم و با جدول بالا مقایسه کردم - [ ] اگر Ubuntu/RHEL هستم، tracker دیسترو رو چک کردم (نه فقط عدد آپاستریم)
- [ ] پچ در دسترسه؟ نصب و
rebootکردم - [ ] پچ نیست؟
--ip-options any -j DROPو MPTCP خاموش - [ ] سرورهایی با
multipath TCP listenerرو اول پچ کردم (Go بهصورت پیشفرض باز میکنه) - [ ] بکاپ تازه گرفتم — قبل از هر ریبوتی که به پچ ربط داره
سوالات رایج
Q: من هاست اشتراکی دارم، کار من چیه؟
A: تیکت به پشتیبانی هاست بده و مستقیم بپرس: «کرنل شما برای CVE-2026-98432 پچ شده؟» اگر جواب معلوم نبود یا سرباز زدن، جدی بگیر — این حفره به اپلیکیشن تو ربطی نداره، به کسی که کرنل رو مدیریت میکنه.
Q: IPv6 هم مشکل داره؟
A: طبق کامیت آپاستریم، «IPv6 از مشکل اول تاثیر نمیپذیره» — باگ اصلی مال IPv4 TCP handshake هست. ولی بازهم کرنل رو پچ کن، چون آینده خبر نمیده.
Q: چطور مطمئن شم بعد از reboot واقعا پچ شده؟
A: دوباره uname -r بزن و عدد رو با جدول مقایسه کن. برای کرنلهای دیسترو، ورژن بسته (مثلاً linux-image-x.x.x-XX) رو با اطلاعیه امنیتی خود دیسترو چک کن — نسخه دیسترو با نسخه آپاستریم فرق میکنه.