CVE-2026-98432, một lỗ hổng use-after-free trong ngăn xếp mạng IPv4 của nhân Linux, có thể cho phép kẻ tấn công không cần xác thực thực thi lệnh với quyền root trên máy chủ có bộ lắng nghe Multipath TCP (MPTCP). Linux kernel CVE team và Canonical chấm lỗi ở mức 9,8/10; mã sửa đã được đưa vào upstream và các nhánh kernel ổn định, nhưng trạng thái bản vá vẫn khác nhau giữa các bản phân phối.
CVE-2026-98432 nguy hiểm ở điểm nào?
Lỗi nằm trong mã xử lý kết nối TCP IPv4 và bắt nguồn từ một điều kiện tranh chấp. Khi nhiều CPU đồng thời xử lý yêu cầu kết nối TCP được truyền lại, tùy chọn socket có thể bị giải phóng trong lúc một luồng khác vẫn đang sử dụng. Hậu quả là trạng thái use-after-free, có thể gây sập kernel, làm hỏng bộ nhớ hoặc trở thành nền tảng cho thực thi mã từ xa.
Phạm vi ảnh hưởng kéo dài tới các kernel Linux từ nhánh 4.4. Theo các trang theo dõi của Canonical và Red Hat, nhiều dòng Ubuntu và Red Hat Enterprise Linux vẫn cần đối chiếu gói kernel cụ thể, vì nhà cung cấp có thể backport bản sửa mà không đổi sang số phiên bản kernel upstream mới nhất.
Từ lỗi race condition đến quyền root từ xa
Anthropic cho biết một mô hình nghiên cứu nội bộ đã xây dựng chuỗi khai thác hai giai đoạn. Trước hết, kẻ tấn công lợi dụng cuộc đua để khiến kernel trả về thêm dữ liệu, qua đó làm lộ con trỏ kernel và vượt qua cơ chế ngẫu nhiên hóa không gian địa chỉ KASLR. Sau đó, cùng lỗi use-after-free được dùng để ghi đè con trỏ callback và chuyển hướng luồng thực thi tới tải trọng đã đặt trong bộ nhớ kernel.
Trong thử nghiệm, giai đoạn làm lộ địa chỉ mất khoảng 48 phút và giai đoạn đạt thực thi lệnh root cần thêm khoảng 5 phút. Một đặc tính đáng chú ý là lần thử thất bại chỉ làm hỏng bắt tay kết nối thay vì lập tức đánh sập toàn bộ máy, cho phép kẻ tấn công kiên trì lặp lại cho đến khi thắng điều kiện tranh chấp.
MPTCP là gì và vì sao máy chủ có thể bật mà quản trị viên không biết?
Multipath TCP cho phép một kết nối đồng thời sử dụng nhiều đường mạng, chẳng hạn Wi-Fi và mạng di động, để tăng độ bền và hiệu năng. MPTCP không phải lúc nào cũng được ứng dụng bật mặc định, nhưng từ Go 1.24, thư viện mạng có thể tự sử dụng MPTCP cho TCP listener trên Linux khi kernel hỗ trợ. Vì vậy, một số dịch vụ viết bằng Go có thể phơi bày bề mặt MPTCP mà đội vận hành không chủ động cấu hình.
Không chỉ MPTCP mới chịu ảnh hưởng
Bằng chứng khai thác thực thi mã từ xa được công bố tập trung vào máy chủ có MPTCP listener. Tuy nhiên, lỗi nền tảng nằm trong đường xử lý TCP IPv4 thông thường, nên việc tắt riêng MPTCP không đủ để loại bỏ rủi ro. Red Hat cảnh báo lưu lượng TCP IPv4 tiêu chuẩn có thể kích hoạt hỏng bộ nhớ hoặc gây từ chối dịch vụ ngay cả khi việc chiếm quyền root đáng tin cậy đòi hỏi kiểm soát heap chính xác hơn.
Tình trạng bản vá giữa các bản phân phối
Bản sửa đã có trong upstream Linux và được backport về các nhánh kernel ổn định còn được duy trì. Tại thời điểm cuối ngày 30/10/2026, Canonical ghi nhận nhiều gói Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS và 26.10 đang trong quá trình hoàn thiện bản vá. Debian đã công bố gói sửa cho Debian 12 và Debian 13, trong khi Red Hat, Rocky Linux và các nhà cung cấp khác cung cấp trạng thái hoặc hướng dẫn riêng theo từng sản phẩm.
Quản trị viên cần làm gì ngay?
Ưu tiên đầu tiên là kiểm kê máy chủ Linux có dịch vụ TCP hướng Internet, xác định kernel và gói do nhà phân phối cung cấp, rồi đối chiếu trực tiếp với trang CVE của nhà cung cấp. Khi bản vá xuất hiện, cần cài gói kernel mới và khởi động lại vào kernel đã sửa; chỉ tải gói mà chưa reboot không thay đổi kernel đang chạy.
Nếu chưa có bản vá, nên giới hạn dịch vụ về các mạng hoặc địa chỉ IP tin cậy, giảm bề mặt TCP công khai và theo dõi log bất thường. Một số nhà cung cấp đề xuất lọc gói IPv4 TCP chứa IP options bằng nftables, nhưng biện pháp này có thể ảnh hưởng lưu lượng hợp lệ và phải được kiểm thử trước khi triển khai diện rộng.
Cách tự kiểm tra mức độ phơi nhiễm
Đội vận hành nên lập danh sách kernel đang chạy, dịch vụ lắng nghe và ứng dụng Go có khả năng tự bật MPTCP. Không nên kết luận an toàn chỉ dựa vào số phiên bản kernel chung, vì bản vá backport của nhà phân phối có thể giữ nguyên nhánh phiên bản. Nguồn xác nhận đáng tin cậy nhất là advisory và changelog gói của chính bản phân phối.
Chưa có bằng chứng khai thác ngoài thực tế
Tính đến thời điểm các nguồn công bố ngày 30/10/2026, chưa có báo cáo xác nhận CVE-2026-98432 đang bị khai thác trong thực tế. Dù vậy, bằng chứng của Anthropic cho thấy tác động đã vượt khỏi kịch bản từ chối dịch vụ: trong điều kiện phù hợp, lỗi có thể dẫn tới quyền root từ xa mà không cần thông tin đăng nhập hay tương tác người dùng.
Bài học cho phòng thủ hạ tầng Linux
Sự cố cho thấy một tính năng mạng ít được chú ý vẫn có thể được kích hoạt gián tiếp qua runtime ứng dụng, trong khi lỗ hổng nền lại tác động tới đường TCP rộng hơn. Tổ chức cần gắn quản lý lỗ hổng kernel với kiểm kê dịch vụ thực tế, theo dõi advisory của nhà phân phối và duy trì quy trình khởi động lại có kiểm soát sau cập nhật.
VNCyberS tổng hợp từ Anthropic, Linux Kernel, Canonical, Red Hat và BleepingComputer
Tiếng Việt
English