Установка защиты от уязвимости CVE-2026-98432 - обновление ядра Linux

novembre

2026

11:33

Установка защиты от уязвимости CVE-2026-98432 - обновление ядра Linux

Linux, безопасность

6 novembre 2026 11:33

Данная статья годится для Linux Mint, Ubuntu и сходных с ними операционных систем (например, Linux Green).

Введение

В ядре Linux версий 16.04, 18.04, 20.04, 22.04, 24.04 и 26.04 при помощи искусственного интеллекта обнаружена уязвимость CVE-2026-98432, которая повышает привелегии до root при атаке сервера извне на Multipath-TCP (MPTCP). Сначала защиты от CVE-2026-98432 не было, что привело к возможности взлома серверов хакерами. Но эти дни стали доступны исправленные ядра Linux, в которых данная уязвимость устранена. Пока ядра с защитой от CVE-2026-98432 доступны не из штатных репозиториев "main" Ubuntu и Linux Mint, а из рекомендованных - "main-proposed". Статья расскажет о том, как подключить рекомендованный (Proposed) репозиторий в Ubuntu 22.04 и 24.04 и установить ядра Linux с защитой от уязвимости CVE-2026-98432. В конце статьи приведена рекомендация для владельцев ОС Linux Ubuntu версий 16.04, 18.04 и 20.04 по купированию данной проблемы до выхода исправленных ядер.

Решение

1) Узнайте, какая версия операционной системы установлена на Вашем ПК:

lsb_release -a

Запишите на лист бумги ключевое слово выпуска, например, Jammy или Noble или Victoria (для Linux Mint).

Для Linux Mint вместо кодового имени дистрибутива "Codename" нужно указать соответствующий выпуск Ubuntu:

Vanessa -> jammy
Vera -> jammy
Victoria -> jammy
Virginia -> jammy
Wilma -> noble
Xia -> noble
Zara -> noble
Zena -> noble
Alfa -> resolute

Для Ubuntu используйте исходное кодовое имя выпуска ОС на Вашем ПК. Например, noble.
Обновление возможно для выпусков Ubuntu Jammy и Noble.

Ubuntu 26.04 Resolute и 26.10 Stonking обновление ядра не требуется, т.к. у них ошибка исправлена в версии ядра 7.3.0-10.10.

И узнайте версию ядра:

uname -r
sudo dmesg | grep Linux

Например, у меня: 6.8.0-149-generic, но билд не последний (для защиты от CVE-2026-98432 должно быть установлено ядро Ubuntu 6.8.0-149.149).

2) создайте новый файл в каталоге /etc/apt/sources.list.d/ с именем proposed.list

sudo nano /etc/apt/sources.list.d/proposed.list

3) вставьте в файл следующую строку:

deb http://archive.ubuntu.com/ubuntu/ jammy-proposed restricted main multiverse universe

Где jammy исправьте на кодовое имя своего дистрибутива из пункта 1.

Сохраните файл и выйдете из редактора: Ctrl+O, Ctrl+X.

4) Обновите список пакетов

sudo apt update

5) В зависимости от версии исходного ядра

Для обновлени пакета нужно выполинть apt install с ключом -t jammy-proposed и именем пакета.

Если в операционной системе версия ядра Linux 6.8, установите мета-пакет linux-generic-6.8,
но обязательно с ключом -t jammy-proposed

Для jammy и ядра 6.8:

sudo apt install -t jammy-proposed linux-generic-6.8

Для noble и ядра 6.8:

sudo apt install -t noble-proposed linux-generic-6.8

Где resolute и ядра 7.0:

sudo apt install -t resolute-proposed linux-generic-7.0

6) По сообщениям в окне терминала убедитесь, что установилось новое ядро.

Распаковывается linux-generic-6.8 (6.8.0-149.149~22.04.1) …
Выбор ранее не выбранного пакета linux-tools-common.
Подготовка к распаковке …/4-linux-tools-common_5.15.0-203.213_all.deb …
Распаковывается linux-tools-common (5.15.0-203.213) …
Выбор ранее не выбранного пакета linux-hwe-6.8-tools-6.8.0-149.
Подготовка к распаковке …/5-linux-hwe-6.8-tools-6.8.0-149_6.8.0-149.149~22.04.1_
amd64.deb …
Распаковывается linux-hwe-6.8-tools-6.8.0-149 (6.8.0-149.149~22.04.1) …
Выбор ранее не выбранного пакета linux-tools-6.8.0-149-generic.
Подготовка к распаковке …/6-linux-tools-6.8.0-149-generic_6.8.0-149.149~22.04.1_
amd64.deb …
...

7) Выполните перезагрузку

sudo reboot

8) Проверьте версию ядра

sudo dmesg | grep Linux

Версия ядер с защитой от CVE-2026-98432 следующие:

5.15.0-203.213
6.8.0-149.149
7.0.0-43.43
7.3.0-10.10

Похожая статья: Получение предложенных (proposed) обновлений в Linux.

Как защитить от CVE-2026-98432 старые версии Ubuntu 16.04 (xenial), 18.04 (bionic) и 20.04 (focal)

Владельцам компьютеров с версиями Ubuntu 16.04, 18.04 и 20.04 нужно подождать исправленную версию ядра.
Как временную защиту можно им посоветовать отключить функцию MPTCP:

echo "net.mptcp.enabled = 0" | sudo tee /etc/sysctl.d/90-mptcp-off.conf
sudo sysctl --system

Проверка:

cat /proc/sys/net/mptcp/enabled

Debian и CVE-2026-98432

Новые ядра для защиты Debian от CVE-2026-98432.

Источники:

Blog sur la Radio et Linux