CVE-2026-98432: Lỗ hổng Linux kernel trong bắt tay TCP IPv4, cách kiểm tra và vá

Ngày 15/10/2026, lỗ hổng CVE-2026-98432 trong Linux kernel được công bố: một lỗi use-after-free ngay ở bước bắt tay TCP qua IPv4, tồn tại gần 11 năm và ảnh hưởng hầu hết máy chủ Linux đang mở cổng ra Internet. Bài này tóm tắt lỗi là gì, bản phân phối nào đã có bản vá, cách kiểm tra và cập nhật, cùng biện pháp tạm trong lúc chờ bản vá.

CVE-2026-98432 là lỗi gì?

Đây là lỗi use-after-free (dùng lại vùng nhớ đã giải phóng) trong đoạn mã xử lý bắt tay TCP của IPv4 trong Linux kernel. Khi một kết nối TCP đang được tạo, kernel chuyển phần IP options của yêu cầu kết nối sang socket mới mà không sao chép. Nếu cùng lúc một CPU khác xử lý gói SYN gửi lại của chính kết nối đó và gửi SYN-ACK, socket mới có thể đã bị giải phóng trong khi SYN-ACK vẫn đang đọc vùng nhớ ấy.

Lỗi có từ khoảng kernel 4.4 (năm 2015), khi kernel bắt đầu xử lý yêu cầu kết nối mà không giữ khoá của socket đang lắng nghe. Bản sửa rất nhỏ: chuyển việc giải phóng sang kfree_rcu() để chờ hết người đọc rồi mới xoá.

• Mức độ: một số nguồn chấm 9,8/10. Red Hat chấm 8,1 (Important), Ubuntu xếp mức High.
• Ảnh hưởng: mọi máy Linux có cổng TCP mở qua IPv4 (web, SSH, mail, cơ sở dữ liệu...).
• IPv6: không bị nhánh lỗi chính, vì IPv6 sao chép options thay vì chuyển quyền sở hữu.
• Nhánh phụ: khi bật net.ipv4.tcp_migrate_req=1 hoặc dùng chương trình BPF di chuyển kết nối của reuseport.

Bản phân phối nào đã có bản vá?

Tình trạng ngày 30/10/2026, đối chiếu từ trang bảo mật chính thức của từng bản phân phối:

Hệ điều hành	Tình trạng
Kernel gốc (kernel.org)	Đã vá: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, 7.3
Debian 12 bookworm	Đã có bản vá: linux 6.1.190-1 (DLA-4841-1), linux-6.12 6.12.113-1~deb12u1
Debian 13 trixie	Đã có bản vá: linux 6.12.113-1 (DSA-6568-1)
Ubuntu 22.04 / 24.04 / 26.04	Chưa có bản vá chính thức, Canonical đang làm (work in progress)
RHEL / AlmaLinux / Rocky / CloudLinux 8, 9, 10	Bị ảnh hưởng, đang chờ bản vá
CentOS 7, RHEL 6/7	Không bị ảnh hưởng (kernel 3.10 có trước lỗi)

Cách kiểm tra máy của bạn

Xem phiên bản kernel đang chạy:

uname -r

Kiểm tra biện pháp tạm cho nhánh phụ (giá trị 0 là an toàn, đây là mặc định):

sysctl net.ipv4.tcp_migrate_req

Cách cập nhật bản vá

Debian 12 / 13

apt update
apt install --only-upgrade linux-image-amd64
reboot

Sau khi khởi động lại, uname -r trên Debian 12 phải hiện bản 6.1.0 tương ứng gói 6.1.190 trở lên (kiểm tra bằng dpkg -l 'linux-image-6.1*').

Ubuntu

Chưa có bản vá. Theo dõi trang bảo mật của Ubuntu, khi có bản mới thì chạy:

apt update && apt full-upgrade -y
reboot

AlmaLinux / Rocky / CloudLinux / RHEL

Chưa có bản vá. Khi có, chạy:

dnf update kernel* -y
reboot

Với CloudLinux có KernelCare, bản vá nóng có thể đến trước mà không cần khởi động lại: kcarectl --update.

Biện pháp tạm trong lúc chờ bản vá

Theo mô tả kỹ thuật của bản sửa, lỗi chỉ xảy ra khi yêu cầu kết nối mang IP options. Gói tin hợp lệ trên Internet gần như không bao giờ có IP options, và phần lớn router đã bỏ các gói như vậy. Chặn gói SYN có IP options là cách loại bỏ điều kiện kích hoạt lỗi. Đây là đánh giá của TND dựa trên mô tả bản sửa, không phải khuyến cáo chính thức của nhóm kernel, nên hãy thử trên một máy trước.

nftables:

nft add table inet cve98432
nft add chain inet cve98432 input '{ type filter hook input priority -10; }'
nft add rule inet cve98432 input 'ip hdrlength > 5 tcp flags syn drop'

iptables:

iptables -I INPUT -p tcp --syn -m u32 --u32 "0>>24&0xF=6:15" -j DROP

Hai luật trên chỉ bỏ gói SYN IPv4 có phần header dài hơn 20 byte (tức có IP options). Gỡ bỏ sau khi đã cài kernel vá: nft delete table inet cve98432 hoặc thay -I bằng -D trong lệnh iptables.

Ngoài ra nên giữ net.ipv4.tcp_migrate_req=0 và đưa SSH, trang quản trị, cơ sở dữ liệu ra sau danh sách IP cho phép hoặc VPN. Nếu khách hàng của bạn chủ yếu ở Việt Nam, có thể tham khảo danh sách dải IP Việt Nam mà TND tổng hợp để chỉ mở các cổng quản trị cho IP trong nước.

TND đã làm gì?

Ngay khi lỗ hổng được công bố, TND đã rà soát toàn bộ máy chủ, VPS hạ tầng, hosting và tổng đài để xác định phiên bản kernel và mức độ ảnh hưởng. Các máy chạy hệ điều hành đã có bản vá sẽ được cập nhật và khởi động lại trong khung bảo trì ngoài giờ. Với các hệ điều hành chưa có bản vá chính thức, TND theo dõi hằng ngày và sẽ cập nhật ngay khi bản vá phát hành.

Khách hàng dùng VPS tự quản trị cần tự cập nhật kernel và khởi động lại VPS theo hướng dẫn ở trên. Nếu cần hỗ trợ, hãy liên hệ đội kỹ thuật TND.