Cảnh báo lỗ hổng RCE nghiêm trọng CVE-2026-98432 trên Linux Kernel

• Lỗ hổng nghiêm trọng: CVE-2026-98432 là lỗi Use-After-Free trong Linux Kernel, đạt điểm CVSS 9.8 (Critical), cho phép kẻ tấn công thực thi mã từ xa (RCE) với quyền root.
• Cơ chế khai thác: Lỗi xảy ra trong quá trình xử lý kết nối IPv4 TCP, có thể bị khai thác để vượt qua KASLR và chiếm quyền điều khiển hệ thống.
• Tình trạng thực tế: Các nhà nghiên cứu đã ghi nhận hoạt động quét mạng quy mô lớn nhắm vào các hệ thống có khả năng bị ảnh hưởng trên toàn cầu.
• Khuyến nghị: Quản trị viên cần kiểm tra phiên bản kernel và áp dụng bản vá từ Canonical ngay lập tức hoặc sử dụng các quy tắc nftables để giảm thiểu rủi ro.

Tổng quan về lỗ hổng CVE-2026-98432

Một lỗ hổng bảo mật nghiêm trọng mang mã CVE-2026-98432 vừa được công bố, ảnh hưởng trực tiếp đến nhân Linux (Linux Kernel). Lỗ hổng này cho phép kẻ tấn công từ xa thực thi mã tùy ý với quyền root mà không cần bất kỳ sự tương tác nào từ người dùng. Với điểm số CVSS 9.8, đây là một mối đe dọa cực kỳ nguy hiểm đối với hạ tầng máy chủ chạy hệ điều hành Ubuntu và các bản phân phối Linux khác.

Theo phân tích kỹ thuật, lỗ hổng nằm ở cơ chế thiết lập kết nối IPv4 TCP của nhân Linux, ảnh hưởng đến các phiên bản kernel từ 4.4 trở đi. Bản chất của lỗi là một dạng Use-After-Free (UAF), nơi nhân hệ thống tiếp tục truy cập vào một vùng nhớ đã được giải phóng. Cụ thể, khi một CPU giải phóng các tùy chọn IP của một kết nối mới, một CPU khác đang xử lý gói tin SYN lặp lại vẫn cố gắng đọc các tùy chọn đó để xây dựng phản hồi, dẫn đến tình trạng mất an toàn bộ nhớ.

Chi tiết về kỹ thuật khai thác và tác động

Nghiên cứu từ Anthropic Frontier Red Team cho thấy một mô hình AI đã có khả năng tạo ra mã khai thác (exploit) hoạt động dựa trên lỗ hổng này. Quy trình khai thác diễn ra qua hai giai đoạn chính:

• Giai đoạn 1: Kẻ tấn công khiến kernel gửi lại các byte dư thừa có thể chứa con trỏ kernel, từ đó vượt qua cơ chế bảo vệ KASLR (Kernel Address Space Layout Randomization).
• Giai đoạn 2: Ghi đè lên một con trỏ callback để buộc kernel thực thi payload, dẫn đến việc chiếm quyền điều khiển shell với đặc quyền root.

Mặc dù việc khai thác đòi hỏi sự chính xác cao, nhưng kẻ tấn công có thể thử lại nhiều lần mà không làm sập hệ thống nếu xảy ra lỗi trong quá trình bắt tay (handshake). Các nhà nghiên cứu ước tính quá trình rò rỉ thông tin mất khoảng 48 phút và thêm 5 phút để giành quyền truy cập shell.

Bảng trạng thái bản vá cho các phiên bản Ubuntu

Dấu hiệu bị quét mạng và biện pháp phòng thủ

Nhà nghiên cứu bảo mật Marcus Hutchins đã cảnh báo về việc phát hiện các hoạt động quét mạng trên toàn cầu nhắm vào cổng 443 bằng các kết nối MPTCP. Điều này cho thấy các tác nhân đe dọa đang tích cực tìm kiếm các hệ thống chưa được vá lỗi. Để kiểm tra các listener MPTCP trên hệ thống, quản trị viên có thể sử dụng lệnh sau:

sudo ss -Mlnp

⚠️ Cảnh báo quan trọng: Việc thiết lập net.mptcp.enabled=0 không đóng các socket đã mở sẵn, do đó quản trị viên cần khởi động lại các dịch vụ liên quan sau khi thay đổi cấu hình. Đối với các hệ thống chưa thể cập nhật kernel ngay lập tức, việc áp dụng quy tắc nftables để chặn các gói tin IPv4 TCP chứa IP options là giải pháp giảm thiểu rủi ro tạm thời hiệu quả nhất. Người dùng các phiên bản cũ như Focal hoặc Bionic nên cân nhắc sử dụng dịch vụ Ubuntu Pro để nhận được các bản cập nhật bảo mật mở rộng (ESM). Thông tin chi tiết về lỗ hổng có thể tham khảo thêm tại Cơ sở dữ liệu lỗ hổng quốc gia (NVD).