CVE-2026-98432：Linux内核网络栈惊现9.8高危漏洞无需登录直接获取root ...

2026-10-30 23:34 13 0

摘要: 排查清单uname -r 看版本，先和上游表粗筛到发行版安全公告里搜 CVE-2026-98432，确认补丁包版本sysctl -n net.mptcp.enabled 和 ss -Mln 看暴露面升级内核并重启，不能重启的先评估缩小 MPTCP 暴露面处理完重跑自查脚本确认

关键词：MPTCP, 发行版公, CVE-2026-98432, uname, branch, 安全公告, sysctl, Mln, 版本号已

10 月 27 日，Anthropic 发布了一篇研究，说他们用一个内部模型在几款主流软件里找到了严重漏洞并报给了厂商。其中一个是 Linux 内核网络栈里的释放后使用（use-after-free，一块内存释放后又被当成有效数据使用）问题，编号 CVE-2026-98432，攻击者无需登录、无需用户点击就能远程触发。上游已修复，并回移到所有仍在维护的稳定内核分支。

有一点要说清楚：漏洞编号的官方记录里，描述的是 IPv4 TCP 在处理重发的 SYN 包时的释放后使用，并没有写 MPTCP 这个词。 "影响 MPTCP 监听服务器"这个说法来自 Anthropic 的博客。两者指向同一个编号，但口径不完全一致，自查时两头都要看。

第一步：看内核版本够不够新

上游标注已包含修复的稳定分支版本是：

分支	修复起始版本
5.10	5.10.272
5.15	5.15.223
6.1	6.1.190
6.6	6.6.159
6.12	6.12.113
6.18	6.18.56
7.2	7.2.10

bash
 代码解读
复制代码
uname -r

注意：发行版（Ubuntu、Debian、RHEL 等）会把补丁回移到自己的内核包里，版本号和上游对不上。 所以上面的表只能当第一道粗筛，最终以你所用发行版的安全公告为准（在公告里搜 CVE-2026-98432）。

第二步：看自己有没有暴露在这个面上

漏洞要被远程触发，前提是机器开了 MPTCP 并且有服务在用它监听。查两处：

bash
 代码解读
复制代码
# MPTCP 总开关，1 为开启
sysctl -n net.mptcp.enabled

# 只列 MPTCP 的监听套接字（需要新一点的 ss）
ss -Mln

net.mptcp.enabled 为 0，或者 ss -Mln 没有任何 LISTEN 行，说明暂时没有服务走 MPTCP，风险面比开着的机器小。但这不能替代打补丁——配置随时可能被改回去。

LiteLLM供应链攻击流程示意图生成需求 (7).png

第三步：把自查写成一个脚本

bash
 代码解读
复制代码
#!/usr/bin/env bash
# 自查 CVE-2026-98432：内核版本、MPTCP 开关、MPTCP 监听端口
# 版本号只对照上游稳定版；发行版内核以其安全公告为准
kver=$(uname -r | cut -d- -f1)
echo "内核版本: $(uname -r)"
branch=$(echo "$kver" | cut -d. -f1,2)
patch=$(echo "$kver" | cut -d. -f3); patch=${patch:-0}
declare -A fixed=( [5.10]=272 [5.15]=223 [6.1]=190 [6.6]=159 [6.12]=113 [6.18]=56 [7.2]=10 )
if [[ -n "${fixed[$branch]}" ]]; then
  if (( patch >= ${fixed[$branch]} )); then
    echo "上游版本号已包含修复（${branch}.${fixed[$branch]} 及以上）"
  else
    echo "上游版本号低于 ${branch}.${fixed[$branch]}，请查发行版公告或升级"
  fi
else
  echo "分支 ${branch} 不在已列出的修复分支里，请查发行版公告"
fi
echo "MPTCP 开关: $(sysctl -n net.mptcp.enabled 2>/dev/null || echo 未找到)"
echo "MPTCP 监听端口:"
ss -Mln 2>/dev/null | tail -n +2 || echo "（ss 不支持 -M 或无权限）"