Ubuntu 修复 Linux 内核 IPv4 TCP 高危漏洞 CVE-2026-98432

关于 CVE-2026-98432 的若干问题我们已收到不少反馈。该漏洞存在于 Linux 内核建立 IPv4 TCP 连接的方式中，影响 Linux 内核 4.4 及更高版本。

该漏洞的 CVSS 3.1 评分为 9.8，对应严重程度为 High。

我们的团队目前正在为 Ubuntu 22.04 LTS 及更新版本测试 CVE-2026-98432 的修复。修复目前位于 -proposed pocket 中，因此运行自有内核验收测试的用户可以根据我们加速 CVE 修复的新 SRU 策略选择应用这些修复。针对更早的、仍在支持的 Ubuntu 版本，修复将随后提供。

为确保在广泛生态中的稳定性，我们在 2,000 多台认证服务器和设备上进行了大量测试。一旦这些测试完成，我们将把修复发布到 Ubuntu 归档的 updates pocket 中，并会在本博客更新更多细节。用户也可以查看我们的 CVE 状态页面获取最新信息。

在你的系统上，运行以下命令获取当前运行内核的版本，并将列出的版本与上方对应的表格进行比对。

uname -r

已安装内核软件包的列表可以通过以下命令获取：

dpkg -l 'linux-image*' | grep ^ii

CVE-2026-98432 的影响

该漏洞影响 Linux 内核中的 IPv4 TCP 连接处理，可能导致远程代码执行。Anthropic 生成的尚未发布的 exploit 被描述为使用 Multipath TCP（MPTCP），尽管该漏洞并非 MPTCP 特有。截至撰写本文时，尚不清楚有其他 exploit 被生成或发布。

要启用 -proposed pocket，请按照以下说明操作。或者，你可以使用以下命令启用 Ubuntu 归档 main 组件（涵盖 Linux 内核镜像）的 -proposed pocket：

sudo add-apt-repository --component main --pocket proposed http://archive.ubuntu.com/ubuntu

来自 -proposed pocket 的软件包默认不会被选为升级对象。你必须显式安装软件包，并指定与你发行版对应的 -proposed pocket。例如，如果你的内核是通过元软件包安装的，可以使用以下命令：

sudo apt update dpkg-query -W -f '${source:Package}\t${binary:Package}\n' | awk '$1 ~ "^linux-meta" { print $2 }' | xargs sudo apt install -t $(. /etc/os-release && echo $VERSION_CODENAME)-proposed --only-upgrade

安装完 Linux 内核的安全更新后，需要重启：

sudo reboot

Ubuntu 26.10、26.04 LTS、24.04 LTS 和 22.04 LTS 作为标准支持的一部分获得这些修复。

如果你使用的是 Ubuntu 20.04 LTS 或更早版本，Ubuntu Pro 订阅可提供最长 15 年的覆盖。Ubuntu 20.04 LTS 和 18.04 LTS 由扩展安全维护（ESM）覆盖，而 Ubuntu 16.04 LTS 和 14.04 LTS 需要带有 Legacy 附加组件的 ESM。Ubuntu Pro 最多可免费用于 5 台机器，社区成员最多可用于 50 台机器。Ubuntu Pro 还提供对 Landscape 的访问权限，使你能够控制安全修复在整个环境中的推广。了解更多。

各方来源正在推荐禁用 multipath TCP（MPTCP）的缓解措施，但请注意，该 CVE 修复并非 MPTCP 特有。这些建议完全基于以下事实：Anthropic 生成的尚未发布的 exploit 被描述为使用 MPTCP；尚不清楚有其他 exploit 被生成或发布。Ubuntu 安全团队认为安全更新是唯一合适的缓解措施。对于 Ubuntu 22.04 LTS 及更新版本，如上所述，这些更新目前正处于资格测试中，并已在 -proposed pocket 中提供。

有兴趣在你的组织中使用 Ubuntu 吗？

在收件箱中获取最新的 Ubuntu 新闻和更新。

提交此表单即表示我确认已阅读并同意 Canonical 的隐私声明 和隐私政策。