安全速递 · 高危漏洞
Linux 内核 TCP 高危漏洞 CVE-2026-98432
发布于 2026 年 10 月 30 日 ｜ 资盘 zipan.co
2026 年 10 月 15 日，Linux 内核 CVE 团队公开了一个编号为 CVE-2026-98432 的漏洞。问题出在 IPv4 的 TCP 连接处理代码里，属于典型的“释放后使用”（Use-After-Free）。它可能让服务器崩溃，在特定条件下甚至能被远程利用。如果你的服务器、NAS、虚拟机或者云主机跑的是 Linux，这篇文章值得读完。
这个漏洞到底出在哪
简单说，内核在处理 TCP 连接请求时，会同时进行两件事：一是对连接请求做重传，二是在套接字之间迁移状态。这两件事如果恰好并发执行，其中一个流程可能已经把某块内存释放了，另一个流程却还在使用它。
访问一块已经被释放的内存，结果不可预测。轻的情况是进程或内核出错、系统重启；重的情况是攻击者借助精心构造的网络数据包，把内存破坏成可利用的状态。
据内核 CVE 团队的说明，这个问题来自内核 4.4 版本引入的一段处理逻辑，目前只影响 IPv4 的 TCP 路径。IPv6 的常规连接处理不存在同样的问题，但在某些条件下 IPv6 也有相关隐患，官方表示会另行修复。
评分为什么不一致
这个漏洞的危险程度，目前有两种说法。Linux 内核 CVE 团队给出的 CVSS 3.1 基础分是 9.8，属于最高的严重级别，判断依据是网络可达、无需认证、影响机密性、完整性和可用性。
Red Hat 的分析给出的是 5.9 分。它认为攻击者要触发这个竞争条件并不容易，需要精确控制时序，而且在它支持的产品中实际影响相对有限。
两种评分都有道理。对于暴露在公网、开放 TCP 服务的机器，建议按 9.8 分来对待；对于只在内网使用、且访问范围受控的机器，风险确实会小一些，但仍然需要修补。另外，据日本媒体报道，Anthropic 在 10 月 27 日公布了其研究成果，称在特定条件下可以远程获取管理员权限，这进一步说明不能掉以轻心。
哪些系统需要关注
只要运行的是受影响的 Linux 内核版本，就需要检查。目前可以确认的是，Ubuntu 的多个内核版本都在跟进处理，Red Hat、Debian 和 Proxmox VE 也都发布了相关公告。
需要注意的是，上游内核已经在 6.12.113、6.18.56、7.2.10 和 7.3-rc7 中修复。但各发行版通常会把补丁移植到自己维护的旧内核里，所以不能只看内核号，最可靠的方式是去你的发行版安全公告里核对。
怎么检查和修复
第一步，先看一下当前内核版本：
uname -r第二步，在 Ubuntu 或 Debian 上更新系统并安装最新内核：
sudo apt update
sudo apt full-upgrade -y
sudo reboot在 RHEL 或 Rocky、AlmaLinux 等兼容系统上，使用下面的命令：
sudo dnf update kernel -y
sudo reboot第三步，重启之后再次执行 uname -r，确认新内核已经生效。内核更新必须重启才会真正运行，只升级软件包而不重启，等于没有修复。
如果暂时无法重启，比如业务不允许中断，建议先把对外开放的 TCP 服务收窄到必要的 IP 范围，并尽快安排维护窗口。这只是临时手段，不能代替补丁。
写在最后
内核漏洞最麻烦的地方在于，它不像应用软件那样能单独替换，而是要整机更新、重启。很多人的服务器跑了几年没动过，正是这类问题最容易被忽略的原因。
建议今天花十分钟做三件事：确认内核版本，查看所用发行版的安全公告，安排一次重启。如果你管理着多台机器，可以用配置管理工具批量检查。
声明：本文根据公开的安全公告与媒体报道整理，漏洞细节以 Linux 内核 CVE 公告和各发行版官方通告为准。文中不包含任何利用代码。
