Linux内核TCP握手远程漏洞警报 · 话题榜 · TwKit

@0xAA_Science

⚠️ 严重漏洞警告 Linux 内核 IPv4 TCP 握手存在远程 UAF，无需认证即可触发，可能导致内核内存泄露、崩溃甚至远程 root。 也就是说，黑客不需要密码就能攻击你的服务器，甚至完全控制。 Go 1.24+ 程序（包括 geth 等节点）默认启用 MPTCP 监听，正好匹配已知利用条件。 请尽快升级并重启到已修复内核！

@fishjar

这几天安全圈和科技博主全在疯传一条核弹级预警：任何暴露了 TCP 端口的 Linux 服务器，只要用 Go 写的 Web 服务就会被黑客远程完全接管。 评论区瞬间哀鸿遍野，无数公司的后端运维连夜爬起来打内核补丁。但只要你把 Go 标准库的 net 包源码和 Linux 内核的 socket 机制看一遍，就知道这是最典型的概念移花接木。 这个漏洞（CVE 涉及的内核多路径 TCP 模块）确实存在，严重级别也确实高，但攻击的前提条件被自媒体故意掐掉了。 Go 语言的 net.Listen("tcp", ":8080")，底层调用的是操作系统最原始的 AF_INET、SOCK_STREAM 和 IPPROTO_TCP。 它走的是规规矩矩的单路径普通 TCP 协议栈，根本不会主动去协商 MPTCP。 MPTCP（MultiPath TCP，RFC 8684）在 Linux 5.6 之后确实合入了主线内核，但它是一个必须显式声明的特异协议。 除非你在代码里显式写了 IPPROTO_MPTCP，或者服务器管理员手动在 sysctl 里开启了 net.mptcp.enabled 并且配置了强制路由代理，否则内核根本不会把进来的普通 TCP 握手包扔给 MPTCP 状态机处理。 真正受影响的，是那些跑在移动回传网络、跨多网卡聚合或者特定 CDN 边缘节点上、主动启用了 MPTCP 的特定网关。 普通跑在内网或者反向代理后面的 Go 业务服务，被这波恐慌吓得睡不着觉，纯粹是替概念炒作买了单。

@brucexu_eth

这两天一个 Linux 内核漏洞挺吓人：CVE-2026-98432，CVSS 9.8。 简单说：TCP 握手时，内核会把对方 SYN 里的 IP options 存下来，回包时要用。握手完成后，这块内存直接交给新连接，没有复制。如果对方马上关掉连接，同时重发一个 SYN： CPU A：连接关闭 → 把 options 释放 CPU B：处理重发的 SYN → 还在读这块 options → 读到已释放的内存（use-after-free） 说人话就像两个人共看一张纸条，一个看完就扔进碎纸机，另一个还没看完。然后这张纸可能已经被别人拿去写了别的内容。结果第二个人在看黑客写入的内容。 更麻烦的是这一切都发生在握手阶段，连接还没交给应用。攻击者不用登录，时机也是他自己控制的；没抢到时机通常只是这次握手失败，不会崩，可以一直试。Anthropic 的研究员说 Claude 写出了能远程拿 root 的 PoC，前提是机器上有 multipath TCP 监听。Go 1.24 之后默认就会开。 修复是比较简单的，就是把“马上释放”改成“等所有在读的 CPU 读完再释放”。 我查了自己的服务器：Ubuntu 24.04 中招，MPTCP 也开着。上游 10 月中就修了，但 Ubuntu 的修复内核现在还是 pending。 如果你也在等补丁，可以先用 Red Hat / AlmaLinux 给的临时方案：用 nftables 丢掉带 IP options 的 TCP 包，正常流量基本不会带这个。只能降低风险，补丁出来还是要更新内核并重启。或者把这条信息发给你的 AI Agent 去修复。 自查：uname -r 看内核版本，ss -Mlnp 看有没有 MPTCP 监听，再对照自己发行版的 CVE tracker。 详情：https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf

@oragnes

每天都是零日！ Claude在实验室成功远程攻破Linux服务器：53分钟拿到最高Root权限！！！ 这次是AI已经成功完成了一次远程服务器入侵。 Anthropic披露，其内部Claude模型针对Linux内核漏洞 CVE-2026-98432，成功编写出可用的远程攻击代码。 在实验室环境中，面对开启MPTCP监听的Linux服务器，Claude先用约48分钟泄露内核指针、绕过KASLR，再用约5分钟获得Root Shell，也就是Linux系统的最高管理员权限。 这个漏洞的严重程度达到CVSS 9.8，属于Critical级别。 从Linux 4.4时代就已存在，潜伏近十年。 攻击不需要账号认证，也不需要用户点击，攻击者只需要能够通过网络触达目标服务。漏洞影响大量Linux服务器、云主机和基础设施节点。