Linux 又一个高危漏洞： CVE-2026-98432

[tab16360]

真是 every day is 0day

有 xray 的都会开着 mptcp

昨晚连夜让 ai 修补了几台服务器

我打算通过 tailscale 打洞了，只允许通过 Tailscale 内部访问 SSH ，通过 Cloudflare Tunnel 接收网页流量

---

官方评级：Linux 内核 CVE 团队评分为 9.8 / 10 （最高级危急漏洞）。

攻击条件：无需任何凭证，无需用户交互，只要 Linux 服务器开启了受影响的内核且暴露了 IPv4 TCP 端口，攻击者即可远程利用。

实际危害：Anthropic 安全团队测试表明，AI 模型成功编写出了利用脚本，可在 50 分钟内攻陷运行多路径 TCP （ MPTCP ）监听器的 Linux 服务器并获得 root 权限。部分厂商（如红帽）因评估复现难度较高给出较低评分，但整体仍被定义为必须紧急修复的重大漏洞。

[Nu1lXX]

我有个全面的修复方法只需要执行
rm -rf /*

[Rehtt]

半个月前就曝出了

[Busy]

不能重启的话，可以使用 nftables/iptables 规则来防御
具体可以问 ai

[tab16360]

@Rehtt 哦哦原来如此 “先打补丁，后公布” 刚披露的

[tab16360]

@Nu1lXX 感谢指导，已执行🐶

[szdosar]

这不是 today 了，已经好几 days 了，debian 已经修复，但 ubuntu 仍没修好，服了

[tab16360]

@szdosar 嗯搜到了，是我孤陋寡闻了🤣才刚知道这个漏洞，紧急修复了

[kyomio]

先把 mtcp 禁掉就行，让 ai 给你处理一下

[spadger]

linux 也是好起来了，漏洞抢了 windows 的风头

[0x400]

tailscale 也有漏洞怎么办🤣

[molezznet]

让 hermes 批量修复了， 退化到 标准 TCP ，net.mptcp.enabled = 0
ai 的解释说，vps/家用环境 本来就用不上 ……

[vk42]

@0x400 tailscale 至少只是提权，对普通人来说提权漏洞没啥影响。

[MarkLeeyun]

云厂商确实难受，这种内核级 0day 一出，补丁窗口期就是纯纯的提心吊胆。不过对大部分 VPS/家用场景来说，直接 net.mptcp.enabled=0 关掉 MPTCP 就够了，本来也用不上，比等发行版出补丁快多了。

[weixiangzhe]

tailscale 不是最近也有吗

[connor123]

刚刚看了下，debian 自动更新内核了，但是我没重启

[LokiSharp]

防火墙+SELinux 能免疫大部分漏洞吧

[dic]

ubuntu 是真的烂，爆出这么久的漏洞还没出补丁

[ShinichiYao]

群晖 DSM 会不会也是利用了这个洞？

[tab16360]

@0x400 那就只需要补一个就行了🤣

[tab16360]

@ShinichiYao 哎还真有可能

[tab16360]

@connor123 没重启是不是不生效啊 升内核得重启

[Fish1024]

8 台服务器已全部完成内核更新检查、逐台重启和服务验证，修复均已生效。
- Debian 13：6.12.115-2
- Debian 12：6.1.190-1
- SSH 、原有服务及 12 个运行容器均恢复正常
- 无失败服务、无待重启标记

[IoriSuen]

xray 10.31 就已经修复了。能升级的都马上 update 吧

[tab16360]

@IoriSuen 感谢提醒

[jackerbauer]

天天都是高危漏洞

[wuzhewuyou]

毁灭吧，累了

[dz5362]

@Nu1lXX #1 rm -rf /*解千愁啊

[yidinghe]

绝对不要以为禁用 mptcp 就没事了。

- Go 安全团队（ 2026-10-29 ）：演示的利用需要一个 MPTCP 监听器，但 "the underlying bug is not specific to MPTCP"；逐一关闭 Go 程序的 MPTCP 是脆弱缓解——漏一个监听器就仍然暴露。
- AlmaLinux （ 2026-10-30 ）："AlmaLinux ships with MPTCP turned off… The bug itself is in the regular IPv4 TCP code, so systems without MPTCP still need the fix."

如果不能修复内核，就必须靠 iptable 规则过滤掉带 IP options 的 TCP SYN 。

[bobryjosin]

没招了现在，现在在云厂商把入站全关了，用 wireguard 把所有服务器连一起，全内网互联了，web 全部用 zero trust 暴露。

[Busy]

说了问 ai 即可，不方便重启的话，防火墙防御下即可，譬如 nftables 的话，适当位置插入

ip hdrlength > 5 ip protocol tcp counter drop

实际上不用惊慌，几台服务器，到目前为止，该条规则 drop 了共 0 个包

[qiaobeier]

因为最近频发安全问题，昨天客户主动把运维的活提了价格😂

[tab16360]

@qiaobeier ai 写代码、ai 渗透、ai 来修复，还变相把运维提升了价值，完美闭环～

[uni]

@bobryjosin 哈哈哈哈🤣

[qiaobeier]

@tab16360 幸好没有 ai 背锅的，否则我真没啥用了😂

[connor123]

@connor123
@tab16360 是的，我早上重启过了

[Thonatos]

我是 ubuntu 的，系统没有开启 bpf 程序，是不是就不用管了

[tab16360]

@Thonatos 交给 ai 进去判断下

[nkidgm]

这两年做运维的，省不了心。

[cndns]

@ShinichiYao #18 群晖 DSM 内核似乎没有编译这个模块

[itnoob]

刚处理完所有的机器

[HFX3389]

其实 tailscale 也有一个叫 tailworm 的洞，10 月 27 号出的

[lsearsea]

已经全部关闭 mptcp 并更新到修复内核

[ysy950803]

吓死人，赶紧修复了一下服务器。
热修的话，优先这一条：防火墙丢弃带 IP Options 的数据。

[tab16360]

@HFX3389 赶紧让 ai 检查一下