O problemă la nivelul nucleului
Înregistrarea CVE-2026-98432 a fost publicată la 15 octombrie 2026. Problema privește folosirea memoriei în procesarea unor conexiuni TCP IPv4: o zonă poate fi eliberată în timp ce alt procesor încă o citește. Acest tip de eroare este numit use-after-free.
Remedierea descrisă în înregistrare schimbă momentul eliberării acelei memorii, ținând cont de cititorii care o pot folosi încă. Nu este o eroare în tema website-ului și nu poate fi rezolvată printr-un simplu update de extensie.
De ce evaluările de risc pot fi diferite
La data verificării surselor, Ubuntu afișează prioritate High și un scor CVSS 3 de 9,8. Red Hat publică un scor CVSS 3.1 de 8,1 și indică o complexitate ridicată a atacului. Descrierea sa evidențiază riscul de oprire a sistemului și posibila corupere a memoriei.
Aceste evaluări se citesc în contextul produsului și al analizei furnizorului. Nu justifică nici ignorarea actualizării, nici concluzia că orice server Linux poate fi preluat imediat de la distanță.
| Furnizor | Prioritate / severitate | Scor publicat |
|---|---|---|
| Ubuntu | High / Critical CVSS | 9,8 |
| Red Hat | High CVSS | 8,1 |
Se verifică distribuția și pachetul exact
Starea corecției diferă între distribuții, versiuni și variante de kernel. Un număr de versiune privit izolat poate fi insuficient: furnizorii pot integra o corecție într-un pachet care păstrează o parte din numerotarea existentă.
Pentru intervenție recomandăm o listă cu sistemul de operare, pachetul instalat, nucleul care rulează și buletinul de securitate aplicabil. Administratorul poate astfel urmări explicit serverele care au fost verificate și pe cele pentru care mai așteaptă un pachet corectat.
Identifică sistemul și nucleul activ
Pe Linux, aceste comenzi afișează distribuția și versiunea nucleului care rulează. Sunt un punct de pornire pentru inventar, înaintea comparării pachetului cu anunțul de securitate al distribuției.
cat /etc/os-release
uname -rÎn containere, os-release descrie mediul containerului, iar uname reflectă nucleul gazdei. Înregistrarea versiunii nu confirmă aplicarea corecției; verifică pachetul și eventualele corecții integrate de furnizor.
Pachet instalat și nucleu activ sunt două verificări
Recomandarea operațională este ca actualizarea să fie planificată împreună cu procedura de activare indicată de furnizor. Repornirea unui serviciu web nu înlocuiește automat nucleul care rulează.
O intervenție completă include o fereastră de lucru, o cale de acces de recuperare și verificări după activare. Pentru sistemele care oferă live patching se verifică explicit acoperirea acestei vulnerabilități, nu doar existența serviciului.
- Consultă pagina CVE a distribuției pentru produsul și pachetul folosit.
- Pregătește backupul, accesul de recuperare și procedura de revenire.
- Aplică pachetul recomandat și activează corecția conform procedurii furnizorului.
- Confirmă nucleul activ și starea serviciilor după intervenție.
- Urmărește erorile, repornirile neplanificate și disponibilitatea aplicațiilor.
Protecția aplicației și protecția sistemului se completează
Un WAF analizează traficul aplicației, în timp ce problema discutată aici se află în prelucrarea TCP a nucleului. De aceea, o regulă WAF nu trebuie prezentată drept dovadă că sistemul a primit corecția.
Limitarea expunerii serviciilor și monitorizarea rămân măsuri utile. În evidența intervenției se păstrează separat măsurile temporare, pachetul corectat și dovada că acesta este activ. Această separare face raportul ușor de verificat, inclusiv după schimbarea echipei care operează serverul.
Surse și verificare
Informațiile tehnice au fost verificate la 31 octombrie 2026. Starea pachetelor și recomandările furnizorilor se pot modifica; înaintea unei intervenții se consultă anunțul curent pentru produsul folosit.