CVE-2026-98432: ثغرة خطيرة في Linux Kernel TCP تتيح تنفيذ تعليمات برمجية عن بُعد بصلاحيات root دون مصادقة

في أكتوبر 2026، تم الكشف عن ثغرة خطيرة في معالجة اتصالات TCP داخل نواة Linux تحمل المعرّف CVE-2026-98432. تتيح هذه الثغرة للمهاجم عن بُعد، ودون الحاجة إلى مصادقة، تنفيذ تعليمات برمجية بأعلى الصلاحيات (root) على الخادم المستهدف. يشرح هذا المقال آلية عمل الثغرة، والأنظمة المتأثرة، والخطوات التي يجب على مؤسستك اتخاذها اليوم.

نظرة سريعة

1. كيف تعمل الثغرة؟

يقع الخلل في الشيفرة المسؤولة عن معالجة IP options عندما تستقبل نواة Linux حزم مصافحة TCP (TCP handshake) عبر IPv4. عندما تعالج عدة أنوية معالج حزم TCP-ACK في الوقت نفسه، قد تقوم إحدى الأنوية بتحرير الذاكرة التي تحتوي على IP options بينما لا تزال نواة أخرى تقرأ منها. هذا خلل من نوع Use-After-Free يمكن استغلاله لقراءة ذاكرة النواة والكتابة فوقها.

• الشيفرة المعيبة: موجودة في Linux Kernel 4.4 والإصدارات الأحدث.

• شرط الاستغلال عن بُعد: يحتاج المهاجم إلى أن يكون على الخادم مقبس MPTCP في وضع الاستماع لكي يتمكن من كسب حالة التسابق بين أنوية المعالج بشكل موثوق. يتوفر MPTCP في النواة الرسمية منذ الإصدار 5.6، وتقوم بعض التوزيعات بنقله إلى أنوية أقدم.

• IPv6 غير متأثر لأنه ينسخ IP options ويديرها بطريقة مختلفة.

2. لماذا تُعد هذه الثغرة خطيرة بشكل خاص؟

• لا يحدث انهيار للنظام: على عكس معظم أخطاء الذاكرة في النواة، فإن المحاولة الفاشلة تُفسد اتصال TCP الحالي فقط ولا تسبب Kernel Panic. يمكن للمهاجم إعادة المحاولة آلاف المرات بصمت دون أن يلاحظ المسؤولون.

• سلسلة استغلال من مرحلتين:

1. المرحلة 1 (حوالي 48 دقيقة): إرسال حزم مصافحة TCP تحتوي على IP options بشكل متكرر لتفعيل UAF، مما يجعل النواة تعيد بايتات من الذاكرة المحرّرة. يستخدم المهاجم هذه البيانات المسرّبة لتجاوز حماية KASLR.

2. المرحلة 2 (حوالي 5 دقائق): التحكم في محتوى الذاكرة المحرّرة لتحويل مسار التنفيذ والحصول على صلاحيات root.

مؤشر الاختراق (IoC): عدد كبير بشكل غير طبيعي من حزم TCP-ACK التي تحمل حقل IPv4 Options، تتكرر من عنوان IP المصدر نفسه على مدى 30–60 دقيقة.

3. حالة التصحيحات حسب التوزيعة

أوامر تحديث النواة

Debian / Ubuntu (عند توفر التصحيح):

sudo apt update && sudo apt upgrade linux-image-generic -y
sudo reboot

RHEL / Rocky Linux / AlmaLinux / Oracle Linux:

sudo dnf update kernel -y
sudo reboot

Amazon Linux 2023:

sudo dnf upgrade kernel -y
sudo reboot

4. إجراءات التخفيف المؤقتة

طبّق هذه الإجراءات فوراً إذا لم يتم تصحيح أنظمتك بعد أو تعذّرت إعادة تشغيل الخوادم.

الخيار 1: تعطيل Multipath TCP (MPTCP)

إذا لم تكن بحاجة إلى MPTCP، فقم بتعطيله لإزالة شرط الاستغلال عن بُعد. تحقق من الحالة الحالية (القيمة 1 تعني أنه مفعّل):

sysctl net.mptcp.enabled

التعطيل فوراً دون الحاجة إلى إعادة التشغيل:

sudo sysctl -w net.mptcp.enabled=0

التعطيل بشكل دائم مع الاحتفاظ بالإعداد بعد إعادة التشغيل:

echo "net.mptcp.enabled = 0" | sudo tee /etc/sysctl.d/90-disable-mptcp.conf
sudo sysctl --system

الخيار 2: حظر حزم TCP التي تحتوي على IP options في الجدار الناري

نادراً ما تستخدم حركة IPv4 المشروعة اليوم IP options. يبلغ طول ترويسة IPv4 القياسية 20 بايت، أي IHL = 5، لذا يمكنك حظر حزم TCP التي يكون فيها IHL > 5.

باستخدام nftables (يُحسب الحقل ip hdrlength بوحدات من 4 بايت، لذا القيمة القياسية هي 5؛ يفترض الأمر وجود جدول inet filter يحتوي على سلسلة input):

sudo nft add rule inet filter input ip protocol tcp ip hdrlength gt 5 counter drop

باستخدام iptables (عبر الوحدة u32 لفحص حقل IHL في البايت الأول من الترويسة):

sudo iptables -I INPUT -p tcp -m u32 --u32 "0>>24&0x0f=6:15" -j DROP

5. قائمة التحقق للمسؤولين

• ☐ شغّل uname -r للتحقق من إصدار النواة وقارنه بجدول التصحيحات في القسم 3.

• ☐ شغّل sysctl net.mptcp.enabled لمعرفة ما إذا كان MPTCP مفعّلاً.

• ☐ اعرض العمليات التي تستمع عبر MPTCP باستخدام ss -M -tlnp.

• ☐ للخوادم التي لا يمكن تحديثها بعد: عطّل MPTCP أو احظر الحزم التي تحتوي على IP options في الجدار الناري.

• ☐ راقب الحركة غير الطبيعية: كميات كبيرة من حزم TCP-ACK مع IPv4 Options من مصدر واحد خلال 30–60 دقيقة.

• ☐ جدوِل تحديث النواة وإعادة التشغيل فور إصدار التصحيح لتوزيعتك.

6. كيف يساعدك ShieldNet Defense؟

• جرد الأصول: تعرض واجهة Devices على الـ Portal نظام التشغيل وتفاصيل النظام لخوادم Linux التي تعمل بالـ Agent، مما يساعدك على تحديد الخوادم التي يجب فحصها وتصحيحها أولاً.

• المراقبة والتنبيه: يجمع الـ Agent نشاط الخوادم ويحلّله باستمرار لاكتشاف مؤشرات الهجوم. ويتم تجميع سلوكيات ما بعد الاستغلال في حوادث على الـ Portal، مع إجراءات استجابة مثل Isolate Host أو Kill Process.

• دعم فريق SecOps: إذا احتجت إلى مساعدة في تقييم التأثير أو تطبيق إجراءات التخفيف، تواصل مع [email protected].

تذكّرنا هذه الثغرة مرة أخرى بأن التصحيح في الوقت المناسب وتقليل سطح الهجوم (تعطيل الخدمات غير المستخدمة وتصفية الحركة غير الطبيعية) يظلان أكثر وسائل الدفاع فعالية. افحص أنظمتك اليوم.