Phạm vi ảnh hưởng và bản vá trên Ubuntu Debian CentOS cùng hướng dẫn giảm thiểu an toàn cho máy chủ

lỗ hổng trong luồng xử lý kết nối IPv4 TCP của hệ thống Linux

CVE-2026-98432 là gì? Đây là lỗi use-after-free trong nhân Linux khi xử lý yêu cầu kết nối TCP trên IPv4. Kẻ tấn công từ mạng có thể lợi dụng một điều kiện tranh chấp để làm hỏng bộ nhớ kernel; tác động có thể từ treo máy đến nguy cơ thực thi mã trong những điều kiện thích hợp. Linux Kernel CVE Team công bố lỗi ngày 15/10/2026 và chấm CVSS 3.1 ở mức 9,8/10 (Critical). [1]

Lỗ hổng không nằm riêng trong Apache, Nginx, HAProxy, Canvas LMS hay một ứng dụng cụ thể. Điểm rủi ro là kernel của máy chủ tiếp nhận kết nối TCP. Do đó, dịch vụ đang phục vụ người dùng bình thường vẫn có thể chạy trên một kernel thuộc diện ảnh hưởng.

Thông tin cần nhớ: Tắt MPTCP chỉ giảm một số điều kiện khai thác; kiểm tra tcp_migrate_req=0 cũng không chứng minh kernel an toàn. Biện pháp phòng vệ ngắn hạn được các nhà cung cấp hướng dẫn là lọc gói IPv4 TCP mang IP Options ở lớp mạng. Giải pháp triệt để là cài kernel đã vá và khởi động vào kernel đó, hoặc dùng livepatch được nhà cung cấp xác nhận. [2] [6]

Lỗ hổng hoạt động như thế nào

Trong quá trình thiết lập kết nối TCP, một request socket chứa cấu trúc tùy chọn IPv4 có thể được chuyển quyền sở hữu cho socket con. Khi hai CPU xử lý gần đồng thời các gói SYN lặp lại hoặc một nhánh di chuyển request socket, một nhánh có thể giải phóng vùng nhớ trong lúc nhánh khác vẫn đang đọc. Đây là điều kiện use-after-free. Bản vá upstream thay việc giải phóng ngay bằng cơ chế kfree_rcu(), chờ các lần đọc đang diễn ra kết thúc. [1]

Yếu tố quan trọng là IPv4 Options, không phải TCP Options thông thường như MSS, SACK hay Window Scale. IPv4 Options làm phần đầu IPv4 dài hơn 20 byte, tương ứng trường IHL lớn hơn 5. Vì thế, bộ lọc gói IP Options có thể giảm đường kích hoạt lỗi mà vẫn cho phép phần lớn kết nối web và SSH thông thường. Tuy nhiên, nếu tổ chức dùng các cơ chế nhãn bảo mật như CIPSO hoặc những ứng dụng dựa vào IPv4 Options thì phải kiểm thử kỹ trước khi chặn. [2] [3]

Hình 1. So sánh gói IPv4 thường và gói IPv4 có IP Options; đây là sơ đồ kỹ thuật khái niệm.

Nhóm nghiên cứu Anthropic công bố đã dựng được chuỗi khai thác thực thi lệnh root từ xa trong môi trường máy chủ có MPTCP listener. Đây là bằng chứng về mức độ nghiêm trọng, nhưng không đồng nghĩa mọi máy Linux đều có thể bị khai thác từ xa với cùng xác suất. Tính khai thác thực tế phụ thuộc kernel, các nhánh mã có thể tiếp cận và cấu hình dịch vụ. [4]

Các nhánh Linux kernel bị ảnh hưởng

Mã gây lỗi xuất hiện từ Linux 4.4. Các nhánh upstream được nhóm Linux kernel CVE xác nhận đã sửa gồm: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 và 7.3. Các nhánh cũ hơn không còn nhận bản vá upstream cần dựa vào backport hoặc dịch vụ hỗ trợ của nhà phân phối. [1]

Đặc biệt, một bản phân phối có thể giữ nguyên số nhánh lớn như 4.18 hoặc 5.14 nhưng đã backport sửa lỗi vào bản build mới. Không đối chiếu số kernel của Ubuntu, Debian và RHEL theo cách so sánh số học đơn thuần; phải xem thông báo và changelog của chính nhà cung cấp.

Ubuntu những phiên bản nào bị ảnh hưởng

Bảng dưới đây tóm tắt trạng thái gói kernel linux thông thường theo trang theo dõi của Canonical tại thời điểm rà soát ngày 03/11/2026. Các nhánh HWE, cloud, OEM, real-time, FIPS có thể khác và phải kiểm tra riêng. [5]

Đến thời điểm tổng hợp, trang Ubuntu Security Notices chưa có thông báo USN khớp trực tiếp CVE-2026-98432. Vì vậy, nâng kernel chỉ vì thấy gói “mới hơn” chưa đủ để tuyên bố lỗi đã được vá. [5]

Debian những phiên bản nào bị ảnh hưởng

Debian đã phát hành gói kernel sửa lỗi cho Debian 12 Bookworm và Debian 13 Trixie. Ngược lại, Debian 11 Bullseye đã kết thúc LTS chính thức từ 31/08/2026; các hệ thống cũ như Bitnami Canvas LMS 2021 cần kế hoạch cập nhật riêng hoặc hỗ trợ ELTS phù hợp. [6] [7]

Với Debian 11, thiếu /proc/sys/net/mptcp/enabled hoặc net.ipv4.tcp_migrate_req không chứng minh hết lỗ hổng: nhánh tranh chấp khi xử lý SYN và IPv4 Options vẫn cần được xét đến. Chỉ kiểm tra gói kernel đã cài, nguồn cập nhật bảo mật và quy tắc lọc thực tế mới đủ căn cứ vận hành.

CentOS và các hệ họ Red Hat

CentOS Linux cổ điển và CentOS Stream là hai dòng phát hành khác nhau. CentOS Linux 7 dùng nhánh kernel 3.10 và Red Hat xác nhận mã lỗi không có trong RHEL 7; ngược lại, RHEL 8/9/10 thuộc nhóm ảnh hưởng. CentOS Stream 9/10 cũng phải kiểm tra gói kernel của chính kênh Stream thay vì lấy số bản vá RHEL để kết luận trực tiếp. [8] [9]

Đối với RHEL 8/9/10, Red Hat ghi nhận các errata sửa lỗi RHSA-2026:93414/93415, RHSA-2026:93412 và RHSA-2026:93413. Các bản kernel ví dụ trên nhánh 8.10, 9.8 và 10.2 lần lượt là 4.18.0-553.182.1.el8_10, 5.14.0-687.64.1.el9_8 và 6.12.0-211.72.1.el10_2; các dòng EUS/RT và bản minor khác cần tra đúng errata. AlmaLinux xác nhận đã đưa các sửa lỗi tương ứng vào kho cập nhật thường từ 02/11/2026. [10] [11]

Giảm thiểu rủi ro khi chưa thể cập nhật kernel

Hình 2. Ba lớp hành động ưu tiên trong thời gian chờ bản vá kernel.

Kiểm tra nhanh trên máy chủ

Quản trị viên có thể rà soát hệ điều hành, kernel đang chạy và hai tham số liên quan bằng các lệnh chỉ đọc sau. Kết quả này là dữ liệu để đối chiếu advisory, không phải “máy quét CVE” có thể tự kết luận đã an toàn.

cat /etc/os-release
uname -r
sysctl net.mptcp.enabled 2>/dev/null || true
sysctl net.ipv4.tcp_migrate_req 2>/dev/null || true

Giảm bề mặt tấn công bằng firewall

Với máy sử dụng iptables hỗ trợ mô-đun u32, có thể cân nhắc quy tắc chặn gói IPv4 TCP có độ dài header bất thường do mang IPv4 Options. Đây là ví dụ giảm thiểu cho lưu lượng đi vào chính host qua INPUT, không mặc nhiên bảo vệ lưu lượng FORWARD, container bridge hoặc mọi lớp mạng. Cần sao lưu firewall, kiểm tra SSH và cơ chế lưu qua reboot trước khi triển khai trên diện rộng. [2]

sudo iptables -I INPUT 1 -p tcp -m u32 \
  --u32 '0>>24&0x0f=6:15' -j DROP

Trên CentOS Stream, RHEL và các bản hệ dùng nftables, Red Hat cung cấp mẫu bộ lọc ip protocol tcp ip hdrlength > 5 theo hook input và yêu cầu dùng nft --check trước khi áp dụng. Không sao chép nguyên xi quy tắc iptables nếu hệ không có u32 hoặc firewall do firewalld/nftables quản lý. [3]

table inet cve_2026_98432 {
  chain input {
    type filter hook input priority -310; policy accept;
    ip protocol tcp ip hdrlength > 5 counter drop
  }
}

MPTCP và TCP migration chỉ là yếu tố phụ trợ

Nếu ứng dụng không cần Multipath TCP, net.mptcp.enabled=0 có thể giảm khả năng tiếp cận một số đường khai thác đã được công bố. Tuy nhiên, thay đổi này chỉ áp dụng đối với socket mới và không loại bỏ lỗi gốc trong xử lý IPv4 TCP. Tương tự, tcp_migrate_req=0 không tắt được đường tranh chấp SYN thông thường. Cần tránh gắn nhãn “đã vá” chỉ vì hai sysctl bằng 0. [1] [2] [4]

Cập nhật kernel và xác nhận bản vá

Ưu tiên cập nhật qua kho chính thức của từng bản phân phối. Trên Ubuntu và Debian, xem chính xác tên meta package và kernel đang chạy; trên RHEL/CentOS xem kernel RPM, errata và changelog. Không so sánh đơn thuần uname -r với phiên bản upstream nếu nhà cung cấp đã backport bản sửa. Sau khi cài đúng kernel đã vá, cần reboot theo lịch bảo trì, kiểm tra lại uname -r và dịch vụ nghiệp vụ. Với livepatch, phải xác minh trạng thái patch cụ thể từ nhà cung cấp.

Đặc biệt với máy chạy Canvas LMS cũ, HAProxy, PostgreSQL, Redis, SSO hoặc hệ thống đào tạo trực tuyến, cần snapshot/backup, bảo đảm console khi mất SSH, thử trên máy tương đương, kiểm tra truy cập 80/443 và chuỗi đăng nhập sau bảo trì. Đừng tự bật UFW trên máy đang có INPUT ACCEPT nếu chưa chuẩn bị đầy đủ quy tắc SSH.

Hướng dẫn khắc phục nhanh theo hệ điều hành

Các nhóm lệnh dưới đây dành cho quản trị viên có quyền sudo. Hãy xác nhận máy dùng iptables, UFW, firewalld hay nftables trước khi áp dụng; sao lưu cấu hình và bảo đảm còn đường vào console dự phòng. Lệnh chặn IP Options là giảm thiểu tạm thời, không phải bản vá CVE. Không tự động reboot máy sản xuất ngoài lịch bảo trì. [2] [3]

Ubuntu 16.04 18.04 20.04 22.04 24.04 26.04 26.10

Cách giảm thiểu ngay: Nếu host đang dùng iptables và lưu lượng TCP IPv4 đi qua chain INPUT, chặn các gói có IPv4 Options bằng lệnh dưới đây. Lệnh kiểm tra trước nên không tự thêm cùng một rule hai lần. Các bản Ubuntu 18.04/20.04 có thể không có sysctl MPTCP; điều này không phải dấu hiệu hết lỗi.

sudo iptables -C INPUT -p tcp -m u32 \
  --u32 '0>>24&0x0f=6:15' -j DROP 2>/dev/null || \
 sudo iptables -I INPUT 1 -p tcp -m u32 \
  --u32 '0>>24&0x0f=6:15' -j DROP

Tắt MPTCP nếu ứng dụng không sử dụng: Chỉ là biện pháp bổ sung; đoạn lệnh tự bỏ qua khi kernel không hỗ trợ tham số này. Không tự sửa tcp_migrate_req khi chưa hiểu cấu hình của dịch vụ.

if [ -e /proc/sys/net/mptcp/enabled ]; then
  sudo sysctl -w net.mptcp.enabled=0
  echo 'net.mptcp.enabled = 0' | \
    sudo tee /etc/sysctl.d/99-cve-2026-98432-mptcp.conf
fi

Cài kernel đã được Canonical xác nhận vá: Sau khi Ubuntu Security xác nhận đã phát hành bản vá cho đúng nhánh GA/HWE/cloud/OEM, cập nhật qua kho chính thức. Lệnh apt upgrade có thể nâng nhiều gói khác nên đọc danh sách và xác nhận trước. Với Ubuntu 16.04/18.04 hoặc 20.04 ở pha ESM, phải kiểm tra kênh hỗ trợ thực tế; đừng kết luận chỉ vì apt báo không có gói mới.

sudo apt update
apt list --upgradable 2>/dev/null | grep '^linux-' || true
sudo apt upgrade
# Sau khi đã cài đúng kernel vá và có lịch bảo trì:
# sudo reboot

Debian 9 10 11 12 13

Giảm thiểu ngay trên Debian: Áp dụng cùng quy tắc iptables cho các bản Debian có kernel thuộc diện ảnh hưởng, khi host dùng chain INPUT. Kiểm tra lại rule bằng lệnh thứ hai. Debian 9/10/11 đã hết pha LTS chính thức; không xem một lần apt upgrade thông thường là bằng chứng đã vá lỗi.

sudo iptables -C INPUT -p tcp -m u32 \
  --u32 '0>>24&0x0f=6:15' -j DROP 2>/dev/null || \
 sudo iptables -I INPUT 1 -p tcp -m u32 \
  --u32 '0>>24&0x0f=6:15' -j DROP
sudo iptables -S INPUT | grep u32

Vá triệt để trên Debian 12 và 13: Khi dùng kernel tiêu chuẩn Debian amd64 và đã cấu hình kho security, cài gói kernel meta hiện hành. Nếu đang dùng nhánh cloud/RT hoặc kernel tự biên dịch, thay bằng đúng gói của nhánh đó; không chuyển nhánh mù quáng. Debian 11 nên lên kế hoạch nâng cấp hoặc dùng ELTS có xác nhận bản vá. [6] [7]

sudo apt update
sudo apt install linux-image-amd64
# Sau khi kiểm tra gói cài mới và có lịch bảo trì:
# sudo reboot
uname -r

CentOS Stream 9 10 và RHEL AlmaLinux 8 9 10

Ưu tiên bản vá chính thức: Đây là nhóm hệ dùng dnf. Kiểm tra bản kernel được đề xuất rồi mới nâng cấp và reboot. Không áp dụng lệnh này như lời hứa có bản sửa trên mọi bản CentOS Stream; phải đối chiếu changelog và nguồn cập nhật từng nhánh. [3] [8]

sudo dnf check-update kernel || true
sudo dnf upgrade --refresh kernel
rpm -q kernel
# Chỉ reboot khi đã có bản kernel sửa lỗi:
# sudo reboot

Giảm thiểu ngay nếu dùng nftables: Red Hat công bố quy tắc lọc IPv4 TCP mang IP Options ở hook INPUT. Tạo file, kiểm tra cú pháp rồi mới nạp. Chỉ chạy nạp một lần; không chạy lại nếu bảng cve_2026_98432 đã tồn tại. Quy tắc này có thể mất sau khi reboot hoặc khi dịch vụ firewall nạp lại. [3]

sudo tee /etc/cve-2026-98432.nft >/dev/null <<'NFT'
table inet cve_2026_98432 {
  chain input {
    type filter hook input priority -310; policy accept;
    ip protocol tcp ip hdrlength > 5 counter drop
  }
}
NFT
sudo nft --check --file /etc/cve-2026-98432.nft
sudo nft --file /etc/cve-2026-98432.nft
sudo nft list table inet cve_2026_98432

CentOS Linux 7 sử dụng nhánh không chứa mã gây lỗi theo xác nhận cho RHEL 7, nhưng đã hết hỗ trợ và vẫn cần nâng cấp vì các rủi ro khác. CentOS Linux 8 và CentOS Stream 8 cũng đã EOL; không có một lệnh dnf tiêu chuẩn nào bảo đảm sửa CVE trên các hệ đã ngừng nhận bản vá. Có thể cân nhắc quy tắc nftables ở trên với máy cũ nếu công cụ và cú pháp được hỗ trợ, nhưng đó chỉ là giảm thiểu tạm thời. Với những máy này, ưu tiên kiểm soát truy cập, hỗ trợ mở rộng nếu có và di chuyển hệ điều hành. [8] [9]

Giữ quy tắc qua reboot và kiểm tra lại

Máy dùng iptables-persistent/netfilter-persistent: Nếu gói này đã cài và chính nó đang quản lý firewall, sau khi kiểm tra các quy tắc hiện tại có thể lưu lại bằng lệnh sau. Không chạy nếu một phần mềm firewall khác đang là nguồn cấu hình chính.

sudo netfilter-persistent save
sudo grep -n 'u32' /etc/iptables/rules.v4

Máy dùng UFW đang active: Không chỉ dùng iptables -I vì quy tắc có thể mất sau reboot. Với cấu trúc UFW mặc định, sao lưu rồi thêm rule vào /etc/ufw/before.rules, kiểm tra cú pháp và reload. Phải bảo đảm SSH hiện tại được cho phép trước khi reload.

sudo cp -n /etc/ufw/before.rules \
  /etc/ufw/before.rules.bak-cve-2026-98432
sudo grep -qF '0>>24&0x0f=6:15' /etc/ufw/before.rules || \
 sudo sed -i '/^-A ufw-before-input -i lo -j ACCEPT$/a\-A ufw-before-input -p tcp -m u32 --u32 "0>>24&0x0f=6:15" -j DROP' /etc/ufw/before.rules
sudo sh -c 'iptables-restore --test < /etc/ufw/before.rules'
sudo ufw reload

Máy dùng firewalld/nftables: File /etc/cve-2026-98432.nft ở ví dụ trên chưa tự tạo cơ chế nạp khi khởi động. Hãy tích hợp rule vào đúng trình quản lý firewall đang sử dụng; đừng đồng thời bật nftables.service mới nếu máy đang dùng firewalld mà chưa kiểm tra xung đột. Đối với CentOS/RHEL đã có kernel được sửa, cập nhật kernel và reboot thường là con đường ngắn và ít sai sót hơn.

Xác nhận sau thay đổi: Kiểm tra kernel đang chạy, rule ở chain thực tế và khả năng hoạt động của website/SSH. Chỉ thông báo “đã vá” khi bản kernel thực tế chứa bản sửa được nhà cung cấp xác nhận; rule firewall đơn lẻ chỉ cho biết biện pháp giảm thiểu đang hoạt động.

uname -r
sudo iptables -S INPUT | grep u32 || true
sudo iptables -S ufw-before-input 2>/dev/null | \
  grep u32 || true
sudo nft list table inet cve_2026_98432 2>/dev/null || true

Nếu có tác dụng phụ với một ứng dụng cần IPv4 Options, quy tắc tạm thời ở INPUT có thể gỡ bằng iptables -D INPUT với đúng tham số đã thêm; bảng nftables thử nghiệm có thể gỡ bằng sudo nft delete table inet cve_2026_98432. Nếu đã lưu quy tắc vào UFW hay dịch vụ khởi động, cũng phải gỡ ở cấu hình lưu bền để không xuất hiện lại sau reboot. Chỉ thực hiện gỡ khi đã có phương án bảo vệ thay thế.

Năm câu hỏi thường gặp

1. Máy chỉ cho SSH từ LAN có an toàn không? Không thể kết luận chỉ từ cổng SSH. Nếu HTTP/HTTPS hay bất kỳ cổng TCP IPv4 nào vẫn nhận lưu lượng ngoài Internet, kernel bị ảnh hưởng vẫn có bề mặt tấn công. Phân đoạn mạng và proxy kết thúc TCP có thể giảm phơi nhiễm, nhưng cần xét đường đi gói tin thực tế.

2. Ubuntu 26.04 LTS có miễn nhiễm không? Không. Canonical liệt kê 26.04 LTS trong nhóm vulnerable tại thời điểm bài viết. Việc nâng từ 7.0.0-38 lên 7.0.0-42 có thể bao gồm các sửa lỗi khác nhưng chưa tự động xác nhận CVE này đã được giải quyết. [5]

3. Không thấy net.mptcp.enabled có nghĩa đã vá? Không. Tùy chọn MPTCP không tồn tại trên một số kernel cũ; lỗ hổng IPv4 TCP vẫn phải được xác minh độc lập.

4. Chặn IP Options có làm hỏng web thông thường không? Phần lớn HTTP/HTTPS và SSH không cần IPv4 Options; tuy vậy môi trường đặc thù như CIPSO, định tuyến/giám sát hoặc ứng dụng tùy biến có thể chịu ảnh hưởng. Bắt buộc kiểm thử và theo dõi log trước/sau triển khai. [2] [3]

5. Thấy dòng u32 trong iptables đã đủ chưa? Chưa. Phải xác minh đúng chain, đúng đường ingress, thứ tự trước các lệnh ACCEPT, khả năng nạp lại sau reboot và việc kernel đã vá hay chưa. Giảm thiểu firewall không thay thế cập nhật kernel.

Kết luận dành cho quản trị viên

CVE-2026-98432 là lời nhắc rằng rủi ro mạng không dừng ở tầng ứng dụng. Với các hệ Ubuntu, Debian và CentOS/RHEL sử dụng kernel có mã lỗi, chỉ một dịch vụ TCP IPv4 phơi ra bên ngoài cũng đáng được rà soát. Các nhánh Debian và họ Red Hat đã có bản vá ở một số kênh phát hành, trong khi Ubuntu còn chờ xác nhận theo tracker được kiểm tra. Phương án hợp lý là kiểm kê kernel, giảm phơi nhiễm bằng quy tắc phù hợp với firewall hiện tại, sau đó triển khai bản vá nhà cung cấp và kiểm chứng sau reboot.

Lưu ý về thời điểm: Trạng thái bản vá trong bài được kiểm tra ngày 03/11/2026 và có thể thay đổi. Trước khi triển khai trên sản xuất, đối chiếu lại bản build và advisory của đúng nhà phân phối, sản phẩm và kênh hỗ trợ.

Nguồn tham khảo

[1] Linux Kernel CVE Team – CVE-2026-98432  Mở nguồn

[2] AWS Security Bulletin 2026-160  Mở nguồn

[3] Red Hat Security Bulletin RHSB-2026-016  Mở nguồn

[4] Anthropic – Discovering and exploiting vulnerabilities  Mở nguồn

[5] Ubuntu Security CVE-2026-98432  Mở nguồn

[6] Debian Security Tracker CVE-2026-98432  Mở nguồn

[7] Debian LTS – Thông báo kết thúc Debian 11  Mở nguồn

[8] Red Hat CVE-2026-98432 và phạm vi RHEL  Mở nguồn

[9] CentOS Project – CentOS Linux và CentOS Stream  Mở nguồn

[10] Red Hat Bugzilla – Các bản vá RHSA tháng 11/2026  Mở nguồn

[11] AlmaLinux – Patched kernels released  Mở nguồn

• • 03/11/2026