В конце октября стало известно об уязвимости CVE-2026-98432 в ядре Linux. Это ошибка обращения к уже освобождённой памяти (use-after-free) при обработке входящих TCP-соединений по IPv4. По данным Amazon Web Services, она затрагивает ядра начиная с версии 4.4. Red Hat присвоила уязвимости критический уровень опасности, а SecurityLab.ru сообщает об оценке 9,8 балла из 10 по шкале CVSS.
Практическую опасность ошибки показала исследовательская команда компании Anthropic. Как говорится в её отчёте, внутренняя модель Claude, ещё не доступная публике, написала эксплойт, который позволяет удалённо и без пароля выполнять команды с правами root на Linux-сервере, принимающем соединения по протоколу Multipath TCP (MPTCP). В демонстрации на обход защиты ядра ушло 48 минут, ещё около пяти — на запуск команд.
Популярный прокси-сервер с открытым исходным кодом Xray связан с этой историей через язык Go, на котором он написан. Начиная с версии Go 1.24 серверные программы на Go под Linux по умолчанию принимают и MPTCP-соединения, поэтому уязвимым входом оказался в том числе сервер Xray. В версии 26.10.31 разработчики Xray отключили MPTCP по умолчанию, а предыдущий выпуск 26.10.29 отозвали. Они призывают как можно скорее обновить Xray и ядро Linux: сама ошибка находится в ядре, и обновление Xray лишь сужает возможности для атаки.
По словам разработчиков Xray, риск есть и у Android-клиентов на его основе, если для входящих SOCKS- или HTTP-подключений включена настройка «разрешить подключения из локальной сети». SecurityLab.ru уточняет, что само по себе приложение на основе Xray в смартфоне не делает его уязвимым для удалённого взлома.
Что известно об исправлениях
- Исправление ядра, по данным Anthropic, перенесено во все поддерживаемые стабильные ветки. Обновлённые ядра уже выпустили Debian 12 и 13, Amazon Linux 2 и 2023, Red Hat готовит обновления для RHEL 8, 9 и 10.
- После установки нового ядра сервер нужно перезагрузить, иначе исправление не начнёт действовать, предупреждает AWS.
- Если обновления ещё нет, AWS предлагает временно отключить MPTCP в системе. Это закрывает путь, использованный в демонстрации, но саму ошибку не устраняет.
- Об использовании уязвимости в реальных атаках, по данным AWS, пока неизвестно.
Все серверы Byte VPN уже переведены на Xray 26.10.31.
Источники
Заметка подготовлена по материалам этих публикаций.
- SecurityLab.ruОбновите Xray, пока не поздно. Ваш VPN-сервер может достаться хакерам без единого пароля
- Xray (GitHub)Xray-core v26.10.31
- AnthropicDiscovering and exploiting vulnerabilities in critical, real-world software with Claude
- Red HatRHSB-2026-016 Use-after-free - kernel IPv4 (CVE-2026-98432)
- AWSSecurity Bulletin 2026-160-AWS: CVE-2026-98432
- DebianSecurity tracker: CVE-2026-98432
Byte VPN
