CVE-2026-98432: Lỗ hổng nghiêm trọng trong Linux Kernel TCP cho phép chiếm quyền root từ xa

Tháng 10/2026, một lỗ hổng nghiêm trọng trong phần xử lý kết nối TCP của nhân Linux đã được công bố với mã CVE-2026-98432. Lỗ hổng cho phép kẻ tấn công từ xa, không cần xác thực, thực thi mã với quyền cao nhất (root) trên máy chủ mục tiêu. Bài viết này tóm tắt bản chất lỗ hổng, hệ thống nào bị ảnh hưởng và các bước doanh nghiệp nên làm ngay hôm nay.

Tóm tắt nhanh

1. Lỗ hổng hoạt động như thế nào?

Lỗi nằm trong mã xử lý IP options khi nhân Linux nhận gói tin bắt tay TCP (TCP handshake) qua IPv4. Khi nhiều nhân CPU cùng xử lý các gói TCP-ACK đồng thời, một nhân có thể giải phóng vùng nhớ chứa IP options trong khi nhân khác vẫn đang đọc vùng nhớ đó. Đây là lỗi Use-After-Free, có thể bị lợi dụng để đọc và ghi đè bộ nhớ của kernel.

• Phạm vi mã lỗi: đoạn mã có lỗi tồn tại từ Linux Kernel 4.4 trở lên.

• Điều kiện khai thác từ xa: kẻ tấn công cần máy chủ đang mở socket lắng nghe MPTCP để tạo được điều kiện tranh chấp ổn định giữa các nhân CPU. MPTCP có trong nhân Linux chính thức từ bản 5.6 và được một số bản phân phối backport về các nhân cũ hơn.

• IPv6 không bị ảnh hưởng do cơ chế sao chép và quản lý IP options khác biệt.

2. Vì sao lỗ hổng này đặc biệt nguy hiểm?

• Không gây sập hệ thống: khác với đa số lỗi bộ nhớ trong kernel, một lần khai thác thất bại chỉ làm hỏng kết nối TCP hiện tại, không gây Kernel Panic. Kẻ tấn công có thể âm thầm thử lại hàng nghìn lần mà quản trị viên khó nhận ra.

• Chuỗi khai thác hai giai đoạn:

1. Giai đoạn 1 (khoảng 48 phút): gửi liên tục gói tin bắt tay TCP có IP options để kích hoạt UAF, khiến kernel trả về các byte bộ nhớ đã giải phóng. Kẻ tấn công dùng dữ liệu rò rỉ này để vượt qua cơ chế bảo vệ KASLR.

2. Giai đoạn 2 (khoảng 5 phút): kiểm soát nội dung vùng nhớ đã giải phóng để chuyển hướng luồng thực thi và chiếm quyền root.

Dấu hiệu nhận biết (IoC): lưu lượng mạng xuất hiện số lượng lớn bất thường các gói TCP-ACK có trường IPv4 Options, lặp đi lặp lại từ cùng một địa chỉ IP nguồn trong khoảng 30–60 phút.

3. Trạng thái bản vá theo bản phân phối

Lệnh cập nhật kernel

Debian / Ubuntu (khi bản vá đã có):

sudo apt update && sudo apt upgrade linux-image-generic -y
sudo reboot

RHEL / Rocky Linux / AlmaLinux / Oracle Linux:

sudo dnf update kernel -y
sudo reboot

Amazon Linux 2023:

sudo dnf upgrade kernel -y
sudo reboot

4. Biện pháp giảm thiểu tạm thời

Áp dụng ngay nếu hệ thống chưa có bản vá hoặc chưa thể khởi động lại máy chủ.

Cách 1: Tắt Multipath TCP (MPTCP)

Nếu hệ thống không cần MPTCP, tắt tính năng này để loại bỏ điều kiện khai thác từ xa. Kiểm tra trạng thái hiện tại (kết quả 1 nghĩa là đang bật):

sysctl net.mptcp.enabled

Tắt ngay, không cần khởi động lại:

sudo sysctl -w net.mptcp.enabled=0

Tắt vĩnh viễn, giữ cấu hình sau khi khởi động lại:

echo "net.mptcp.enabled = 0" | sudo tee /etc/sysctl.d/90-disable-mptcp.conf
sudo sysctl --system

Cách 2: Chặn gói TCP có IP options trên firewall

Lưu lượng IPv4 hợp lệ hiện nay rất hiếm khi dùng IP options. Header IPv4 tiêu chuẩn dài 20 byte, tương ứng trường IHL = 5. Có thể chặn các gói TCP có IHL > 5.

Với nftables (trường ip hdrlength tính theo đơn vị 4 byte, nên giá trị chuẩn là 5; lệnh giả định đã có bảng inet filter và chain input):

sudo nft add rule inet filter input ip protocol tcp ip hdrlength gt 5 counter drop

Với iptables (dùng mô-đun u32 kiểm tra trường IHL trong byte đầu tiên của header):

sudo iptables -I INPUT -p tcp -m u32 --u32 "0>>24&0x0f=6:15" -j DROP

5. Checklist cho quản trị viên

• ☐ Chạy uname -r để kiểm tra phiên bản kernel và đối chiếu với bảng bản vá ở mục 3.

• ☐ Chạy sysctl net.mptcp.enabled để xem MPTCP có đang bật hay không.

• ☐ Kiểm tra các tiến trình đang lắng nghe MPTCP bằng ss -M -tlnp.

• ☐ Với máy chủ chưa thể cập nhật kernel: tắt MPTCP hoặc chặn gói tin có IP options trên firewall.

• ☐ Theo dõi lưu lượng bất thường: lượng lớn gói TCP-ACK kèm IPv4 Options từ cùng một nguồn trong 30–60 phút.

• ☐ Lên lịch cập nhật kernel và khởi động lại ngay khi bản vá cho bản phân phối của bạn được phát hành.

6. ShieldNet Defense giúp gì?

• Kiểm kê tài sản: mục Devices trên Portal hiển thị hệ điều hành và thông tin hệ thống của các Linux Server đã cài Agent, giúp nhanh chóng khoanh vùng những máy chủ cần ưu tiên kiểm tra và vá.

• Giám sát và cảnh báo: Agent liên tục thu thập và phân tích hoạt động trên máy chủ để phát hiện dấu hiệu tấn công. Các dấu hiệu chiếm quyền sau khai thác được tổng hợp thành sự cố trên Portal, kèm hành động phản ứng như Isolate Host hoặc Kill Process.

• Hỗ trợ từ đội SecOps: nếu cần hỗ trợ đánh giá mức độ ảnh hưởng hoặc áp dụng biện pháp giảm thiểu, liên hệ [email protected].

Lỗ hổng này cho thấy một lần nữa rằng vá kịp thời và giảm bề mặt tấn công (tắt dịch vụ không dùng, lọc lưu lượng bất thường) vẫn là tuyến phòng thủ hiệu quả nhất. Hãy kiểm tra hệ thống của bạn ngay hôm nay.