漏洞预警|linux内核UAF漏洞，不需要登录，底层突破，go语言送分，MPTCP默认开启，直接root,CVE-2026-98432，CVSS 9.8

原创

小白哥
小白哥

小白安全成长记

2026年11月2日 10:28
河北

去阅读

好家伙，linux内核漏洞，CVE-2026-98432，CVSS 9.8，搞得人心慌慌，最主要的是golang编写的程序默认就会在linux上开启MPTCP监听，要知道现在golang用的可多了，受影响程度相当有一定数量，我们也赶紧排查了下我们的资产，一定要根据自己的发行版的cve说明进行更新！！！我翻了翻互联网上的分析文章，根据自己的理解，跟大家说明一下这个漏洞的情况。

一、 这是一个什么漏洞？

• 本质：这是一个存在于 Linux 内核中的 内存释放后重用（Use-After-Free, UAF） 漏洞。
• 发生场景：发生在 Linux 处理 IPv4 的 TCP 三次握手（连接建立阶段） 时。
• 危害程度：CVSS 评分 9.8（严重级别/Critical）。攻击者不需要任何账号密码（未授权），只需通过网络发送特制的 TCP 数据包，就能触发漏洞。轻则导致系统崩溃（内核死机），重则能直接在远程服务器上执行任意代码、拿到 root 最高权限。
• 影响范围：波及从 Linux 4.4 到近期（2026年10月前）的大多数内核版本。

二、 漏洞是怎么被触发的？（技术原理通俗版）

1. 握手缓存：当服务器收到一个连进来的 TCP 请求时，内核会先把连接信息临时存放在一个“请求套接字”里。如果客户端在发请求时带了 IPv4 的选项参数（比如记录路由、时间戳等），内核会把这些选项存起来，准备在回复时用。
2. 指针悬空（交接失误）：原本内核应该把这些选项数据复制一份再交给正式的连接，但旧版本内核直接把原指针交了出去。
3. 并发冲突与释放：当这个临时连接被关闭或销毁时，内核把这块内存释放掉了。然而，此时如果另一个 CPU 核心还在急急忙忙地读取这块内存来拼凑握手回应，就会引发 UAF（用已经被释放的内存）。
4. 无限重试：就算偶尔运气不好没触发成功，也只会导致握手失败，而不会直接搞崩系统。所以攻击者可以无限次重试，直到成功利用。

三、 为什么这个漏洞特别危险？

• 无需认证：攻击者在门外（连登录都不需要）就能发动攻击。
• 内核前置拦截：这个漏洞是在应用程序还没接手、连身份验证都还没开始的 TCP 握手底层被触发的。也就是说，只要服务器对外开着端口，哪怕你上面的业务代码写得再安全，也挡不住底层的内核被攻破。
• Go 语言“助攻”：根据 Anthropic 安全研究员（漏洞报告者）的测试，AI（Claude）成功用它写出了针对“开启了多路径 TCP（MPTCP）监听器”的远程 root 利用脚本。而根据 Go 语言安全团队的说法，从 Go 1.24 开始，Go 编写的程序默认就会在 Linux 上开启 MPTCP 监听，这无形中扩大了受影响服务器的基数。

四、 如何检查自己的系统有没有中招？

1. 检查当前运行的内核版本： 运行 uname -r 或 uname -v 查看内核版本。如果你的内核早于官方修复版本（如 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56 等），说明存在潜在风险。(注：如果你用的是容器，容器内看到的是宿主机的内核，必须去检查宿主机。)
2. 检查是否有 MPTCP 监听器： 运行以下命令查看是否有相关进程开启了多路径 TCP 监听：

ss -Mlnp

如果结果为空，说明没有应用在使用它。

五、 如何修复与应对？

1. 最根本方法：升级内核并重启

• 已修复：Debian、Amazon Linux、部分 SUSE 和 Oracle Linux 已经发布了修复补丁。
• 未及时覆盖：截至 2026 年 10 月底，Ubuntu 和 RHEL（红帽）的官方修复补丁还在加急排期中。如果你用的是这些发行版，需密切关注官方更新动态。
• 注意：内核升级后必须重启服务器才会生效。

2. 临时缓解方案（如果暂时无法升级内核）如果你没办法立刻打补丁，可以使用 nftables 或防火墙规则，丢弃所有带有 IPv4 选项（IP options）的传入 TCP 数据包。因为在正常情况下，标准的互联网 TCP 流量几乎用不到这些复杂的 IPv4 选项，这个临时的过滤规则能有效减小被攻击的风险。

- END -