CVE-2026-98432：Linux 内核 TCP 内存释放漏洞，攻击者可能远程获取 Root 权限

摘要： CVE-2026-98432 是 Linux 内核 IPv4 TCP 连接处理中的高危 Use-After-Free 漏洞，CVSS 评分高达 9.8。攻击者可能通过构造特殊网络数据包，在无需身份认证的情况下触发内存破坏。安全研究人员已验证远程 Root 代码执行，影响大量 Linux 服务器、云主机及容器宿主机。本文介绍漏洞成因、影响范围、自查方法和修复措施。

一、漏洞概述

2026 年 10 月，Linux 内核安全团队披露了 CVE-2026-98432。该漏洞存在于 IPv4 TCP 三次握手处理过程中，涉及内核对 IP 选项数据的内存管理。

最值得警惕的是：攻击者只需能够访问目标服务器开放的 IPv4 TCP 端口，就可能远程触发漏洞，无需登录系统，也无需用户进行任何操作。

漏洞基本信息如下：

问题最早由 Linux 4.4 引入，随后长期存在于多个内核分支。

Linux 内核官方列出的主要修复版本如下：

较早且已停止上游维护的内核分支也可能受到影响。Ubuntu、Debian、Red Hat 等发行版还会通过补丁回移修复漏洞，因此判断安全状态时，需要查看发行版对应的软件包公告。

二、漏洞原理：为什么一个 TCP 连接能影响内核安全？

理解这个漏洞，需要先了解 TCP 建立连接时发生了什么。

正常情况下，客户端与服务器通过三次握手建立 TCP 连接：

客户端                         服务器
  |                              |
  | -------- SYN --------------> |
  |                              |
  | <------- SYN + ACK --------- |
  |                              |
  | -------- ACK --------------> |
  |                              |
  |        TCP 连接建立           |

在处理客户端发来的 SYN 数据包时，Linux 内核会创建一个临时的请求套接字（Request Socket），用于保存尚未完成连接的信息。

如果 SYN 数据包包含 IPv4 Header Options，例如 Record Route 或 Timestamp，内核还需要保存相应的 IP 选项数据。

问题就发生在这些数据的生命周期管理上。

1. 多个 CPU 同时使用同一块内存

Linux 是支持多核并发的操作系统。

假设 CPU 1 正在处理一个即将完成的 TCP 连接：

1. 内核创建临时 Request Socket。
2. Request Socket 保存 IPv4 选项数据。
3. TCP 握手完成，内核创建正式连接对应的 Child Socket。
4. tcp_v4_syn_recv_sock() 将原来的选项数据转交给 Child Socket。

这里存在一个关键细节：内核转交的是指向选项数据的指针，没有重新复制一份数据。

与此同时，CPU 2 可能正在处理同一连接的重传 SYN，并尝试重新发送 SYN-ACK。

于是出现了危险的并发场景：

CPU 1                         CPU 2
  |                             |
建立 Child Socket                |
  |                             |
接管 IP Options 内存             |
  |                             |
Child Socket 被销毁              |
  |                             |
kfree() 释放内存                 |
  |                             |
  |                       继续读取 IP Options
  |                             |
  |                       访问已释放的内存
  |                             |
  |                         UAF 触发

CPU 2 仍然保留着指向原来内存区域的指针，但 CPU 1 已经释放了这块内存。

这种错误称为 Use-After-Free（UAF）。

2. RCU 内存管理机制出了什么问题？

Linux 内核使用 RCU（Read-Copy-Update）机制处理大量并发读操作。

简单理解，RCU 允许多个 CPU 同时读取共享数据，并通过延迟释放内存，确保正在读取的线程能够安全完成操作。

然而，存在漏洞的代码使用了普通的内存释放函数：

kfree(ptr);

kfree() 可以立即释放对应的内存对象。

而其他 CPU 可能仍处于 RCU 读临界区，继续访问这个对象。

正确的修复思路是：

kfree_rcu(ptr, rcu);

以上仅为说明两种释放方式差异的简化示意，具体调用取决于对象结构和内核版本。

kfree_rcu() 会等待 RCU 宽限期结束后再释放内存，确保已有的 RCU 读取操作完成。

官方补丁正是修改了相关对象的释放方式，涉及：

• inet_sock_destruct()
• tcp_v4_reqsk_destructor()

对应源文件包括 net/ipv4/af_inet.c 和 net/ipv4/tcp_ipv4.c。

此外，开启 tcp_migrate_req 或使用相关 BPF Socket Migration 机制时，还存在另一条类似的内存生命周期问题路径。

这些问题最终都可能造成内核访问已经释放的内存区域。

三、攻击者如何利用漏洞？

通常情况下，UAF 会造成程序崩溃或者不可预测的内存错误。

如果攻击者能够控制内存释放和重新分配的时机，就可能进一步读取敏感数据，甚至改变程序执行流程。

2026 年 10 月 27 日，Anthropic 安全研究团队公开披露了一个值得关注的研究结果：

研究人员使用 Claude 构造了针对该漏洞的完整利用链，成功实现未经认证的远程 Root 代码执行。

研究中使用的目标服务器运行了 Multipath TCP（MPTCP）监听服务。

利用过程主要分为两个阶段。

第一阶段：泄露内核内存地址。

研究人员利用竞争条件，使内核读取攻击者能够影响的长度字段，从而产生越界读取。

通过返回的数据，攻击者有机会获得内核指针，进而绕过 KASLR（内核地址空间布局随机化）。

第二阶段：劫持控制流程。

研究人员再次利用 UAF，在内存重新分配后制造缓冲区越界写入，并覆盖内核中的回调函数指针。

当内核执行被修改的回调时，攻击者便可能执行预先准备的代码链，最终以 Root 权限执行指定命令。

Anthropic 公布的实验耗时为：

• 约 48 分钟完成内核地址泄露；
• 随后约 5 分钟完成远程命令执行。

这一结果表明，漏洞已经具备经研究验证的完整远程利用路径。

需要注意，上述时间来自研究人员的特定实验环境，不代表所有 Linux 服务器都能在相同时间内被攻破。

四、哪些系统真正需要担心？

该漏洞的影响范围相当广泛，因为问题存在于 Linux 内核的网络协议栈中。

其中有两个容易被忽略的场景。

1. Docker 和 Kubernetes

容器通常共享宿主机 Linux 内核。

因此，即使容器内运行的只是普通 Python、Java 或 Node.js 应用，底层仍可能使用存在漏洞的 TCP 协议栈。

开发者应优先检查容器所在节点的内核补丁状态，并确认哪些 TCP 服务可以被外部访问。

2. Go 1.24 及之后的网络服务

Go Security Team 在 2026 年 10 月 29 日提醒：

从 Go 1.24 开始，Linux 上的 Go 网络监听器默认启用 MPTCP 支持。

这意味着某些普通 Go Web 服务，也可能形成 Anthropic 已验证攻击路径所需的 MPTCP 监听环境。

不过，漏洞本身影响普通 IPv4 TCP 处理流程，关闭 MPTCP 只能减少部分攻击条件。

对于普通 TCP 服务，内核 UAF 仍然值得关注。

在网络层面，触发漏洞需要攻击者能够向目标的 IPv4 TCP 监听端口发送包含 IPv4 Header Options 的特殊数据包，并利用连接处理过程中的时间竞争。

实际能否进一步实现代码执行，还取决于内核版本、配置以及攻击者对内存状态的控制能力。

五、风险现状：公开 PoC 和真实攻击情况

截至 2026 年 11 月 4 日，公开资料可以区分为三个层次。

1. 漏洞真实存在，修复补丁已经公开。

Linux 内核开发者已经修复相关代码。官方公告明确列出了受影响的函数和修复提交。

2. 已有研究级 RCE PoC。

Anthropic 已经报告完整的远程 Root 利用实验，但尚未公开其完整攻击代码。

GitHub 上也出现了第三方 PoC 项目，例如：

• Alucard0x1/cve-2026-98432
• googlesky/CVE-2026-98432

前者主要展示竞争条件及内存读取异常，后者声称通过 KASAN 验证 UAF。

这些公开项目的功能和验证程度各不相同，尚缺少足够证据证明它们能够稳定实现远程 Root 代码执行。

3. 尚未确认大规模真实攻击。

AWS 在 11 月 3 日更新的安全公告中表示，尚未掌握该漏洞已被实际恶意利用的证据。

因此，目前有明确的技术可利用性证据，但公开信息尚未证实已经出现广泛的真实入侵。

六、如何检查自己的 Linux 服务器？

以下命令适用于常见 Linux 发行版。

1. 查看内核版本

uname -r

同时确认发行版：

cat /etc/os-release

例如，某台服务器输出：

5.15.0-XXX-generic

说明它运行 Ubuntu 风格的 5.15 内核。

此时应进一步检查 Ubuntu 官方安全公告及已安装的软件包版本，确认是否包含对应修复。

2. 检查 TCP 监听端口

sudo ss -lntp

重点查看：

0.0.0.0:80
0.0.0.0:443
0.0.0.0:8080

这些地址通常意味着服务监听所有 IPv4 网络接口。

是否能够从公网访问，还需要结合防火墙、云安全组和网络路由判断。

3. 检查 MPTCP 配置

sysctl net.mptcp.enabled

结果：

net.mptcp.enabled = 1

表示系统启用了 MPTCP。

继续检查：

sysctl net.ipv4.tcp_migrate_req

如果返回 1，说明启用了 TCP 请求迁移机制。

这两个参数有助于判断部分攻击路径的暴露情况，但无法单独证明系统是否安全。

4. 检查 Go 程序版本

如果服务器运行 Go 应用：

go version

对于已经编译的二进制文件，可以使用：

go version -m /path/to/server

重点关注 Go 1.24 及更新版本，并检查程序的 MPTCP 设置。

七、如何修复和缓解？

1. 优先升级 Linux 内核

这是最有效的修复方式。

对于 Debian 和已获得正式安全更新的 Ubuntu：

sudo apt update
sudo apt upgrade
sudo reboot

对于 RHEL、Rocky Linux、AlmaLinux 等系统：

sudo dnf upgrade kernel
sudo reboot

需要注意发行版补丁发布进度。

截至 11 月 4 日，Debian 已公布相关安全修复版本；Ubuntu 22.04、24.04 和 26.04 的部分内核修复进入 -proposed 测试仓库，正式仓库状态应以对应版本的最新安全公告为准。

生产环境如需采用测试仓库中的补丁，应先评估兼容性和重启影响。

升级完成后，重新执行：

uname -r

确认系统已经启动修复后的内核。

2. 暂时关闭 MPTCP

在短期无法升级的情况下，可以先关闭 MPTCP：

sudo sysctl -w net.mptcp.enabled=0

同时关闭 TCP 请求迁移：

sudo sysctl -w net.ipv4.tcp_migrate_req=0

这些措施可以减少部分攻击路径，仍需继续安排内核更新。

对于 Go 应用，还可以设置：

GODEBUG=multipathtcp=0

运行已有 Go 程序时，可将该变量加入服务环境配置。程序显式设置 MPTCP 的情况需要单独核查。

3. 在防火墙过滤异常 IPv4 选项

Red Hat 官方提供了基于 nftables 的临时缓解规则。

例如，创建文件 cve-2026-98432.nft：

table inet cve_2026_98432 {
    chain input {
        type filter hook input priority -310;
        policy accept;
        ip protocol tcp ip hdrlength > 5 counter drop
    }
}

执行：

sudo nft --check --file cve-2026-98432.nft
sudo nft --file cve-2026-98432.nft

该规则会丢弃带有 IPv4 Header Options 的入站 TCP 数据包。

普通 TCP Header Options，例如窗口缩放、TCP 时间戳等，通常不会受到影响。

但依赖 IPv4 选项的业务可能出现兼容性问题。部署前应在测试环境验证，并确认防火墙规则的持久化方式。

这属于临时降低风险的措施，完整修复仍需更新内核。

八、总结

CVE-2026-98432 最值得关注的地方，是一个存在多年的 Linux 内核内存管理问题，最终被研究人员转化成了未经认证的远程 Root 代码执行漏洞。

它说明了一个现实问题：即使应用本身没有明显的安全缺陷，底层网络协议栈的错误仍可能危及整台服务器。

对于开发者和系统管理员，建议优先完成以下工作：

1. 检查服务器及容器宿主机的 Linux 内核版本。
2. 排查对公网开放的 IPv4 TCP 服务，特别是使用 MPTCP 的环境。
3. 根据发行版安全公告安装修复补丁。
4. 暂时无法升级时，通过限制网络访问、关闭非必要 MPTCP 功能和过滤特殊 IPv4 数据包降低风险。
5. 升级后重启服务器，确认正在运行的内核已经包含修复。

对于暴露公网 TCP 服务的 Linux 服务器，这应该是一项需要优先处理的内核安全更新。

资料核验日期：2026 年 11 月 4 日。主要参考 Linux 内核 CVE 团队公告、NVD、Anthropic 安全研究报告、Red Hat、Canonical、AWS、Go Security Team 及 GitHub 公开资料。