CVE-2026-98432：Xray紧急关闭MPTCP，但升级代理软件还不够。 Linux内核这次曝出IPv4 TCP释放后使用漏洞，CVSS 3.1评分… · @bitbiz_bruce · TwKit

@bitbiz_bruce

CVE-2026-98432：Xray紧急关闭MPTCP，但升级代理软件还不够。 Linux内核这次曝出IPv4 TCP释放后使用漏洞，CVSS 3.1评分9.8。Xray-core已发布v26.10.31，默认关闭MPTCP，并撤回v26.10.29。 真正值得关注的，不只是“赶紧更新”，还有几个容易误判的地方： ① 远程root演示是真的，但别理解成“所有机器都能秒破”。 Anthropic披露，在其测试条件下，攻击者可针对MPTCP监听服务，无需账号、无需用户交互，最终执行root命令。泄漏内核指针约48分钟，进一步执行命令又约5分钟。这是研究方测试结果，不是所有服务器的固定攻击耗时，也不等于已核实完整利用代码公开或出现了在野攻击。 ② 竞态窗口很短，不代表必须贴着服务器攻击。 微秒、纳秒描述的是目标主机内部并发时序，不是攻击者必须在这个时间里完成网络往返。研究方称，竞态失败通常只是握手失败，因此可以反复尝试。 ③ 没开过MPTCP开关，也不代表没启用。 Go 1.24起，Linux TCP监听默认行为发生变化。实际是否启用，还要看兼容版本、GODEBUG和程序的显式设置。仅凭软件名，或配置里一个false，都不足以判断安全；换成sing-box也不能跳过内核检查。 ④ 关闭MPTCP是缓解，不是根治。 Go安全团队明确：已展示的利用依赖MPTCP，但底层漏洞不限于MPTCP。优先按发行版或云厂商公告修补内核，并确认重启后运行的是修复版本，或适用的官方livepatch已生效。只更新容器镜像也不能修复宿主机内核。 暂时无法维护时，再按官方指导关闭MPTCP、升级应用、收紧不必要的公网和局域网监听，并验证业务连接。 一句话：应用更新用来缩小攻击面，内核修补才是核心。 完整核查与官方来源👇 https://alishui.com/article/103074/cve-2026-98432-linux-xray-mptcp-kernel-security-update-20261101.html

曝光 110 · 评论 1 · 点赞 1 · 书签 0