Một lỗ hổng nghiêm trọng trong nhân Linux có thể cho phép kẻ tấn công từ xa thực thi mã với đặc quyền cao mà không cần xác thực, đang đặt hàng loạt máy chủ Linux trước nguy cơ bị xâm nhập. Trong khi Red Hat đã phát hành bản vá cho RHEL 8, 9 và 10, Canonical mới đưa các bản cập nhật dành cho Ubuntu vào kênh thử nghiệm và chưa công bố lịch phát hành chính thức.
Lỗ hổng được định danh CVE-2026-98432, liên quan đến lỗi use-after-free trong mã xử lý TCP IPv4 của nhân Linux. Với điểm CVSS lên tới 9,8/10, đây được xem là một trong những lỗ hổng có mức độ ảnh hưởng nghiêm trọng, đặc biệt do khả năng bị khai thác từ xa mà không yêu cầu thông tin đăng nhập.
Theo thông tin từ Red Hat và Canonical, kẻ tấn công có thể lợi dụng lỗi này để thực thi mã từ xa trên hệ thống bị ảnh hưởng. Lỗ hổng đã tồn tại từ Linux kernel phiên bản 4.4, trong khi bản vá tương ứng trong mã nguồn chính thức được phát hành vào tháng 10.
Đáng chú ý, Red Hat ban đầu đánh giá lỗ hổng ở mức Trung bình với 5,9 điểm CVSS, nhưng sau đó đã điều chỉnh lên 9,8 điểm và xếp loại mức ảnh hưởng Nghiêm trọng (Critical).
Cơ chế khai thác lỗ hổng CVE-2026-98432
Lỗ hổng bắt nguồn từ cách nhân Linux xử lý các tùy chọn IP trong quá trình thiết lập kết nối TCP IPv4.
Cụ thể, khi máy chủ tiếp nhận một yêu cầu kết nối TCP IPv4, nhân hệ điều hành chuyển các tùy chọn IP từ yêu cầu kết nối sang socket mới mà không thực hiện sao chép dữ liệu. Nếu máy khách gửi lại yêu cầu kết nối trong khi một luồng xử lý khác vẫn đang truy cập các tùy chọn này, nhân Linux có thể tiếp tục đọc dữ liệu tại vùng nhớ đã được giải phóng.
Đây là tình huống tranh chấp tài nguyên (race condition), có thể dẫn đến lỗi use-after-free và tạo điều kiện cho kẻ tấn công khai thác.
Để kích hoạt lỗi, kẻ tấn công chỉ cần gửi các yêu cầu kết nối TCP đến một cổng lắng nghe (listen port), trong đó có chứa tùy chọn IPv4 Record Route (ghi lại tuyến đường) hoặc Timestamp (dấu thời gian). Quá trình khai thác không yêu cầu thông tin đăng nhập hay xác thực từ hệ thống mục tiêu.
Theo thông tin được công bố, đường xử lý TCP IPv6 chính không bị ảnh hưởng.
Red Hat phát hành bản vá cho RHEL 8, 9 và 10
Ngày 1/11, Red Hat phát hành các bản cập nhật bảo mật khắc phục CVE-2026-98432 cho ba phiên bản Red Hat Enterprise Linux (RHEL), bao gồm:
- RHEL 8.10: Kernel đã khắc phục là 4.18.0-553.182.1.el8_10, theo thông báo bảo mật RHSA-2026:93414.
- RHEL 9.8: Kernel đã khắc phục là 5.14.0-687.64.1.el9_8, theo thông báo bảo mật RHSA-2026:93412.
- RHEL 10.2: Kernel đã khắc phục là 6.12.0-211.72.1.el10_2, theo thông báo bảo mật RHSA-2026:93413.
Sau khi cài đặt bản cập nhật, quản trị viên cần khởi động lại hệ thống để các thay đổi có hiệu lực.
Ubuntu vẫn đang thử nghiệm bản vá bảo mật
Ngày 2/11, Canonical thông báo các bản vá cho Ubuntu 22.04 LTS, 24.04 LTS và 26.04 LTS đã được đưa vào kho lưu trữ -proposed pocket, tức kênh cập nhật thử nghiệm tùy chọn.
Các gói phần mềm trong kho lưu trữ này không được cài đặt tự động thông qua quy trình cập nhật thông thường. Người dùng cần chủ động kích hoạt kho lưu trữ và cài đặt bản cập nhật nếu muốn triển khai bản vá trước khi nó được phát hành chính thức.
Các phiên bản kernel đang được Canonical đề xuất gồm:
- Ubuntu 22.04 LTS (Jammy): Kernel 5.15.0-203.213.
- Ubuntu 24.04 LTS (Noble): Kernel 6.8.0-149.149.
- Ubuntu 26.04 LTS (Resolute): Kernel 7.0.0-43.43.
Hiện cả ba phiên bản đều đang trong giai đoạn thử nghiệm và chưa được đưa vào kênh cập nhật chính thức.
Canonical cho biết các bản cập nhật nhân Linux phải trải qua quy trình kiểm thử trên hơn 2.000 máy chủ và thiết bị được chứng nhận trước khi phát hành rộng rãi. Do đó, thời điểm triển khai chính thức vẫn chưa được xác định.
Đối với quản trị viên cần cài đặt bản vá sớm, Canonical hướng dẫn kích hoạt kho lưu trữ -proposed và nâng cấp gói kernel bằng các lệnh sau:
sudo add-apt-repository –component main –pocket proposed https://archive.ubuntu.com/ubuntu
dpkg-query -W -f ‘${source:Package}\t${binary:Package}\n’ | awk ‘$1 ~ “^linux-meta” { print $2 }’ | xargs sudo apt install -t $(. /etc/os-release && echo $VERSION_CODENAME)-proposed –only-upgrade
sudo reboot
Sau khi khởi động lại, quản trị viên có thể kiểm tra phiên bản kernel đang sử dụng bằng lệnh: uname -r
Kết quả trả về cần được đối chiếu với phiên bản kernel đã được khắc phục tương ứng với bản phân phối đang sử dụng.
Đối với Ubuntu 20.04, 18.04 và 16.04, bản vá hiện chưa được cung cấp. Các phiên bản cũ này cần có gói Extended Security Maintenance (ESM) thông qua dịch vụ Ubuntu Pro để tiếp tục nhận hỗ trợ bảo mật.
Ngoài ra, các biến thể kernel dành cho môi trường điện toán đám mây (Cloud), FIPS và thời gian thực (Real-time) cũng được liệt kê trên trang theo dõi CVE của Ubuntu với các phiên bản mục tiêu. Tuy nhiên, thông báo trên blog của Canonical hiện chỉ đề cập đến kernel tiêu chuẩn (Generic).
Biện pháp giảm thiểu rủi ro trong thời gian chờ bản vá
Trong khi chờ triển khai bản cập nhật chính thức, Red Hat đã công bố một quy tắc nftables vào ngày 30/10 nhằm chặn các gói TCP IPv4 đến có chứa tùy chọn IP.
Quy tắc này được thiết kế để loại bỏ loại lưu lượng có thể kích hoạt tình trạng tranh chấp bộ nhớ đã biết. Tuy nhiên, Red Hat lưu ý đây chỉ là biện pháp giảm thiểu tạm thời, không thể ngăn chặn hoàn toàn mọi phương thức khai thác. Việc áp dụng cũng có thể ảnh hưởng đến các ứng dụng và khối lượng công việc phụ thuộc vào tùy chọn IPv4.
Quy tắc nftables được đề xuất như sau:
table inet cve_2026_98432 {
chain input {
type filter hook input priority -310; policy accept;
ip protocol tcp ip hdrlength > 5 counter drop
}
}
Cơ chế lọc này chỉ có hiệu lực trên máy chủ nơi nó được triển khai. Theo lưu ý của một thành viên nhóm nhân CIQ trên danh sách thư oss-security, lưu lượng trao đổi giữa các container chạy trên cùng một máy chủ có thể không đi qua bộ lọc nói trên và do đó vẫn có khả năng bỏ qua cơ chế bảo vệ.
Một số nguồn tin cũng đề xuất vô hiệu hóa Multipath TCP (MPTCP) như một giải pháp khắc phục tạm thời. Tuy nhiên, lỗ hổng nằm trong đường xử lý TCP IPv4, không phải trực tiếp trong MPTCP. Vì vậy, theo Canonical, chỉ vô hiệu hóa MPTCP không đủ để xử lý triệt để rủi ro.
Nhóm Bảo mật Ubuntu nhấn mạnh rằng việc cài đặt bản cập nhật bảo mật là biện pháp khắc phục phù hợp duy nhất.
Nguy cơ khai thác: AI đã tạo được công cụ chiếm quyền root từ xa
Tại thời điểm công bố thông tin, chưa có nhà cung cấp, tổ chức CERT hay nhóm CVE của nhân Linux nào xác nhận các cuộc tấn công thực tế khai thác CVE-2026-98432. Lỗ hổng cũng chưa xuất hiện trong danh mục Known Exploited Vulnerabilities (KEV) của Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) tại thời điểm danh mục được cập nhật ngày 30/10.
Tuy nhiên, khả năng khai thác lỗ hổng đã được chứng minh trong môi trường thử nghiệm.
Ngày 27/10, một mô hình nghiên cứu chưa được công bố thuộc dòng Claude đã phát triển thành công công cụ khai thác có khả năng giành quyền truy cập root từ xa trên các máy chủ Linux có bật trình lắng nghe MPTCP. Quá trình này không yêu cầu thông tin đăng nhập hoặc tương tác từ người dùng.
Theo kết quả thử nghiệm, quá trình rò rỉ địa chỉ kernel mất khoảng 48 phút, sau đó cần thêm 5 phút để đạt được quyền truy cập shell với đặc quyền root. Anthropic hiện chưa công khai mã khai thác này.
Bên cạnh đó, mã khai thác mang tính chất chứng minh khả năng xảy ra lỗi (Proof of Concept – PoC) đã xuất hiện trên GitHub. Mã này có khả năng kích hoạt tình trạng tranh chấp và phát hiện phản hồi từ kernel liên quan đến vùng nhớ đã được giải phóng trong gói SYN-ACK. Tuy nhiên, PoC không thực hiện hành vi thực thi mã.
Mức độ đánh giá và tình trạng khắc phục CVE-2026-98432 có sự khác biệt giữa các nhà cung cấp Linux.
Amazon Linux đánh giá lỗ hổng ở mức 8,1 điểm CVSS và xếp loại Quan trọng (Important). Theo đánh giá của nhà cung cấp, tác động chủ yếu là gây sập hệ thống và có khả năng dẫn đến hỏng dữ liệu bộ nhớ.
Trong khi đó, Debian, Oracle Linux và SUSE đã phát hành các bản vá khắc phục lỗ hổng từ tháng 10.
VNCS Global khuyến nghị: Các tổ chức đang vận hành máy chủ Linux nên chủ động rà soát phiên bản kernel, xác định những hệ thống có nguy cơ bị ảnh hưởng và ưu tiên triển khai bản cập nhật bảo mật tương ứng ngay khi có thể. Đối với những hệ thống chưa có bản vá chính thức, quản trị viên cần cân nhắc các biện pháp giảm thiểu phù hợp, đồng thời theo dõi thông báo từ nhà cung cấp để cập nhật kịp thời. Không nên xem việc vô hiệu hóa MPTCP hoặc áp dụng quy tắc lọc lưu lượng tạm thời là giải pháp thay thế hoàn toàn cho bản vá bảo mật.
