安全提醒:Linux Ubuntu内核严重漏洞"CVE-2026-98432"可以通过网络攻击，无需登录且无需用户采取任何行动

[重要通告]如您遇疑难杂症,本站支持知识付费业务,扫右边二维码加博主微信,可节省您宝贵时间哦!

2026年10月的最后一天，Linux 内核高危漏洞 CVE-2026-98432，可以通过网络攻击，无需登录且无需用户采取任何行动。CVSS 9.8(严重)！

影响TCP/IPv4连接管理，即处理连接到您服务器的任何连接的代码。
Ubuntu从16.04到26.10版本均受影响，AWS、Azure,Google Cloud和 Oracle的内核也同样如此。
修复补丁在几乎所有发行版中仍处于“准备中”阶段。
如您有Linux服务器或VPS，请关注您发行版的公告，并在补丁发布后立即更新内核(并重启)。

关闭 MPTCP 仅属于临时风险缓解措施，并不能从根本上修复 Linux 内核漏洞。
该漏洞的根本原因位于 Linux 内核 TCP 协议实现中，即使关闭 MPTCP，也不代表系统已完全消除相关风险。
我们更建议用户关注所使用 Linux 发行版的官方安全公告，及时安装包含 CVE-2026-98432 修复补丁的内核更新，并按照要求重启服务器。
对于业务依赖 MPTCP 的用户，应优先采用发行版提供的内核安全更新方案，在确保业务兼容性的前提下完成漏洞修复，而非直接禁用 MPTCP。

临时缓解措施

网络层过滤：使用 nftables 或高级防火墙规则，直接丢弃包含 IPv4 选项头（Options）的异常外网 TCP 握手报文。

使用 nftables临时添加规则（丢弃带有任意 IPv4 选项的 TCP SYN 报文）： sudo nft add rule ip filter INPUT ip ihl > 5 tcp flags syn drop
保存规则： ip ihl > 5 tcp flags syn drop
随后重启服务： sudo systemctl restart nftables
关闭不必要的 MPTCP 监听：如果业务不需要多路径 TCP 功能，应暂时关闭对应的监听套接字以阻断高危攻击路径。

临时关闭（立即生效，重启失效）：

sudo sysctl -w net.mptcp.enabled=0

永久禁用 MPTCP 协议（重启依然有效）：

echo "net.mptcp.enabled = 0" | sudo tee -a /etc/sysctl.d/99-disable-mptcp.conf sudo sysctl --system

检查系统上的 MPTCP 监听状态：

ss -Mln

彻底卸载/禁用 MPTCP 内核模块：

echo "blacklist mptcp" | sudo tee -a /etc/modprobe.d/blacklist-mptcp.conf

问题未解决？付费解决问题加Q或微信 2589053300 (即Q号又微信号)右上方扫一扫可加博主微信

所写所说，是心之所感，思之所悟，行之所得；文当无敷衍，落笔求简洁。 以所舍，求所获；有所依，方所成！