【漏洞预警】Linux 内核 IPv4 TCP UAF 漏洞（CVE-2026-98432）
N1bbl3
2026年11月6日 19:39
浙江
去阅读
CVSS 9.8，无需认证、默认配置即可远程触发，POC 已公开，官方修复版本已发布。漏洞位于 Linux 内核 IPv4 TCP 协议栈，请尽快排查受影响资产。
2026 年 10 月 31 日，深瞳漏洞实验室发布 Linux Kernel IPv4 TCP UAF 漏洞（CVE-2026-98432）应急响应通告。漏洞位于 Linux 内核 IPv4 TCP 协议栈，CVSS 9.8，综合评定为高危：攻击者无需任何认证、在默认配置下即可远程触发。目前官方修复版本已发布，POC 已公开。
对于暴露在公网的 Linux 服务器，这不是一条可以排期的补丁，而是需要本周内完成排查的处置项。
风险速览
| 项目 | 内容 |
|---|---|
| 漏洞编号 | CVE-2026-98432 |
| 漏洞名称 | Linux Kernel IPv4 TCP 释放后重用（UAF）漏洞 |
| 组件 | Linux Kernel（IPv4 TCP 协议栈） |
| 威胁等级 | 高危，CVSS 9.8 |
| 漏洞类型 | 远程代码执行 / 权限提升 |
| 利用条件 | 无需用户认证 · 默认配置 · 远程触发 |
| 利用难度 | 中等（需精确控制携带 IP 选项的 SYN 报文时序，并在极短时间窗口内完成内存破坏利用） |
| 修复状态 | 官方补丁已发布 |
| POC 状态 | 已公开 |
一、漏洞概况
2026 年 10 月 30 日，深瞳漏洞实验室监测到 Linux Kernel 组件存在权限提升漏洞的信息，漏洞编号 CVE-2026-98432，威胁等级高危；次日发布应急响应通告。
Linux 内核是 Linux 操作系统的核心组件，负责进程管理、内存管理、文件系统、设备驱动等系统服务。此次问题出在其 IPv4 TCP 协议栈处理连接请求的代码路径上，属于内核态内存安全问题，影响面覆盖服务器、云主机、容器宿主机等各类 Linux 资产。
二、技术成因
在 TCP 三次握手过程中，内核会把连接请求中携带的 IP 选项对象同时关联到两个地方：新建的连接套接字，以及原始的请求套接字。但对象所有权管理存在缺陷
- 子套接字析构时，会直接释放该 IP 选项对象；
- 与此同时，请求套接字一侧在并发处理重传 SYN 报文时，仍可能读取这个对象；
- 相关处理路径存在竞态条件，于是形成典型的释放后重用（Use-After-Free）。
攻击者无需任何认证，通过高频发送携带 IP 选项的 SYN 报文，即可反复尝试触发这一竞态，造成内核访问已释放内存，导致信息泄露或系统崩溃；在目标启用 MPTCP 等特定场景下，还可远程执行任意代码并获得 root 权限。
关于危害边界，需要说清楚：通告将综合评定利用难度定为「中等」——达成稳定 RCE 需要精确控制报文时序、在极短时间窗口内完成内存破坏利用，且与 MPTCP 等特定场景相关，并非「一发包即拿 root」。但「无需认证 + 默认配置 + 远程可达 + 内核态」这四项叠加，加上崩溃与信息泄露的门槛更低，已足以支撑高危定级。
该缺陷自 Linux 4.4 起引入，影响几乎所有未修复内核，且 POC 已公开。
三、为什么建议优先处置
- 攻击无需账号、无需用户交互、也无需非默认配置，远程即可触达；
- POC 已公开，通常意味着探测与攻击尝试会在短时间内规模化出现；
- Linux 内核是云主机、网关、容器节点的共同底座，一台遗漏就可能成为横向移动的起点。
四、影响范围
通告列明的受影响内核版本区间如下：
| 受影响分支 | 版本区间 |
|---|---|
| 5.10.x | 5.10.x ≤ Linux Kernel < 5.10.272 |
| 5.15.x | 5.15.x ≤ Linux Kernel < 5.15.223 |
| 6.1.x | 6.1.x ≤ Linux Kernel < 6.1.190 |
| 6.6.x | 6.6.x ≤ Linux Kernel < 6.6.159 |
| 6.12.x | 6.12.x ≤ Linux Kernel < 6.12.113 |
| 6.18.x | 6.18.x ≤ Linux Kernel < 6.18.56 |
| 7.2.x | 7.2.x ≤ Linux Kernel < 7.2.10 |
| 7.3-rc | 7.3-rc ≤ Linux Kernel < 7.3-rc7 |
提示：通告同时说明该缺陷自 Linux 4.4 起引入、影响几乎所有未修复内核。上表之外的长期支持分支、发行版定制内核与嵌入式内核，请以所属厂商 / 发行版的安全公告为准，不要因「不在表内」直接判定为不受影响。
五、处置建议
5.1 首选：升级至官方修复版本
官方已发布修复补丁，建议升级至对应修复版本：
| 分支 | 修复版本 |
|---|---|
| 5.10.x | ≥ 5.10.272 |
| 5.15.x | ≥ 5.15.223 |
| 6.1.x | ≥ 6.1.190 |
| 6.6.x | ≥ 6.6.159 |
| 6.12.x | ≥ 6.12.113 |
| 6.18.x | ≥ 6.18.56 |
| 7.2.x | ≥ 7.2.10 |
| 7.3.x | 7.3 及后续主线版本已包含修复 |
运维提示：内核升级后需重启方能生效，请纳入变更窗口并安排回滚预案；使用发行版内核包的资产，建议确认所安装的包版本确实包含本次补丁，而非仅比对主线版本号。
5.2 临时缓解
在不影响业务正常运行的前提下，可采取以下措施降低风险：
●●●SHELL
# 关闭 MPTCP
sysctl-w net.mptcp.enabled=0
# 禁用 request socket 迁移
sysctl-w net.ipv4.tcp_migrate_req=0
同时建议：非必要不暴露服务到公网，将访问源限制在可信范围。
两点提醒：其一，sysctl -w 为运行时生效，重启后会失效，如需长期保持请写入 /etc/sysctl.conf 等持久化配置并验证；其二，临时措施无法替代官方补丁，关闭 MPTCP 只是收窄 RCE 场景，不等于消除 UAF 本身，仍需尽快升级内核。
5.3 建议的排查顺序
排查建议按暴露面由外向内推进。优先处理对外提供 TCP 服务、且启用 MPTCP 的服务器，这类资产可达性最高、风险最集中；随后覆盖内网核心业务、容器宿主机、网关与负载均衡节点。盘点时可通过 uname -r 批量采集内核版本，与第四节的版本区间逐一比对，形成受影响资产清单并跟踪闭环。升级前后还建议关注内核异常日志与重启记录，便于发现已发生的崩溃或探测行为。
持续关注安全动态
关注团队，获取更多安全研究与技术动态。
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论