Jak zabezpieczyć serwer Ubuntu przed luką CVE-2026-98432

Na 4 listopada Ubuntu 22.04 i 24.04 nie miały jeszcze wydanej poprawki na CVE-2026-98432, krytyczną lukę w jądrach Linuksa od wersji 4.4. Debian i Amazon Linux mają już poprawione jądra. Sprawdź od razu, które jądro naprawdę działa na Twoich serwerach. Debiana i Amazon Linux zaktualizuj i zrestartuj. Serwery z Ubuntu dostępne z internetu osłoń do czasu poprawki regułą zapory i zaplanuj ich restart na dzień jej wydania.

Zespół bezpieczeństwa jądra Linuksa ogłosił lukę 15 października. Atakujący może przez nią bez logowania uszkodzić pamięć jądra już przy nawiązywaniu połączenia TCP po IPv4. Zespół jądra i Canonical oceniają ją na 9,8 w skali CVSS 3.1. Według trackera Ubuntu może pozwolić atakującemu uruchomić własny kod na serwerze.

Które systemy mają już poprawione jądro

Według biuletynów AWS pierwsze poprawione jądro dla Amazon Linux 2023 wyszło 24 października, a 30 października także dla Amazon Linux 2. Debian 12 i 13 mają poprawione jądra w repozytorium security, które jest w domyślnych źródłach apt.

2 listopada Canonical napisał, że poprawki dla 22.04 i nowszych wersji są testowane w -proposed i trafią do zwykłych aktualizacji, gdy testy się skończą. Daty nie podał. CISA do 4 listopada nie wpisała tej luki na listę luk wykorzystywanych w atakach, czyli publicznie nie potwierdziła ataków.

Nowe jądro działa dopiero po restarcie

Ubuntu instaluje aktualizacje bezpieczeństwa samo pakietem unattended-upgrades, który jest w systemie od instalacji. Restartu jednak nie robi, bo opcja Unattended-Upgrade::Automatic-Reboot ma domyślnie wartość false. Pakiet z nowym jądrem trafi więc na dysk, a serwer będzie działał na starym, dopóki ktoś go nie zrestartuje. Przy lukach php2shell w PHP wystarczył restart PHP. Jądro wymienia dopiero restart całego serwera.

W dniu wydania poprawki nie czekaj na automat: zaktualizuj serwer ręcznie i zrestartuj go. Jeśli chcesz, żeby kolejne jądra wchodziły same, najpierw zrestartuj serwer raz ręcznie i sprawdź, czy wszystkie usługi wstają bez Twojej pomocy. Potem ustaw Automatic-Reboot na true, a w Automatic-Reboot-Time godzinę, o której serwer ma się zrestartować, gdy wymaga tego aktualizacja.

Poniższe polecenia uruchom na samym serwerze, nie w kontenerze, bo kontener ma własne pakiety.

# Ubuntu 22.04 i 24.04
# jądro, które działa teraz
uname -r
# jądra zainstalowane na dysku
dpkg -l 'linux-image*' | grep '^ii'
# jeśli plik jest, czeka na restart
ls /var/run/reboot-required

Według trackera Ubuntu poprawione są te wersje lub nowsze: na 24.04 jądro 6.8.0-149-generic, na 24.04 z jądrem linux-aws 6.8 wersja 6.8.0-1069-aws, a na 22.04 jądro 5.15.0-203-generic. Porównuj numer z wierszem, który ma tę samą końcówkę co wynik uname -r, na przykład -generic albo -aws, i ten sam początek, na przykład 6.8.0. Inne jądra, na przykład HWE, Azure, GCP, 26.04 albo 6.8 na 22.04, mają w trackerze własne numery. Jądro 6.17 na 24.04 nie ma jeszcze poprawki nawet w testach.

Reguła zapory na czas oczekiwania

Red Hat w biuletynie RHSB-2026-016 z 30 października podaje gotową do skopiowania regułę nftables, która odrzuca przychodzące pakiety TCP z opcjami IPv4, więc zerwie też połączenia, które ich używają. Red Hat zaznacza, że filtr zmniejsza ryzyko, ale nie zastępuje łatki. Jeśli sklep albo aplikacja działa w kontenerach Dockera, reguła jej nie ochroni. Zostaje restart na nowym jądrze w dniu wydania poprawki.

Zespół bezpieczeństwa Ubuntu uważa, że jedynym właściwym środkiem są aktualizacje. Mimo to dodaj regułę na każdym serwerze dostępnym z internetu. Gdy uname -r pokaże poprawione jądro, usuń ją poleceniem nft delete table inet cve_2026_98432.

Ile kosztuje Ubuntu Pro z łataniem jądra bez restartu

Ubuntu Pro daje w tej sprawie dwie rzeczy: Livepatch, czyli wgrywanie poprawek jądra bez restartu, i dalsze poprawki dla starszych wersji, takich jak 20.04. Livepatch wgra jednak tylko poprawkę, którą Canonical już wydał, a ostatnie powiadomienie Livepatch pochodzi z 7 października, sprzed publikacji tej luki.

Na EC2 we Frankfurcie Ubuntu Pro to dopłata ok. 2,56 USD miesięcznie do instancji t3.medium, według cennika AWS na dzień 4 listopada 2026. Poza chmurą Canonical liczy 500 USD rocznie za serwer, ale dla Ciebie lub firmy, której jesteś właścicielem, daje Pro za darmo na 5 maszyn. Na EC2 jest jeszcze Amazon Linux 2023, w którym AWS łata jądro na żywo bez dopłaty, jeśli włączysz tę funkcję.

Działającą instancję EC2 trzeba zatrzymać, żeby przełączyć ją na Pro rozliczane godzinowo. Amazon Linux 2023 to inna dystrybucja, więc przejście na nią jest migracją serwera.

Ubuntu 22.04 i 24.04 dostaną tę poprawkę bez Pro, więc jeśli serwer może się zrestartować w nocy, Pro niczego tu nie przyspieszy. Ma sens na 20.04, jeśli nie da się go szybko przenieść, i na serwerze, którego nie możesz restartować zaraz po każdej krytycznej łatce. Restart i tak zrobisz, tylko w swoim terminie.

Co to znaczy dla małej firmy

Jeśli serwerem zarządza firma hostingowa, jądro i restart są po jej stronie, więc zapytaj ją, kiedy to zrobi. Jeśli dbasz o serwer sam albo z własnym adminem, kroki zależą od systemu:

• Na Debianie 12 i 13 oraz Amazon Linux 2 zaktualizuj system i zrestartuj serwer. Na Amazon Linux 2023 najpierw przełącz repozytorium na najnowszą wersję: sudo dnf --releasever=latest upgrade, potem restart.
• Na Ubuntu 22.04 i 24.04 dodaj teraz regułę Red Hata i zarezerwuj okno na restart, najlepiej w nocy. W dniu wydania poprawki uruchom sudo apt update && sudo apt upgrade, zrestartuj serwer i sprawdź uname -r.
• Ubuntu 20.04 od maja 2025 dostaje poprawki bezpieczeństwa tylko w Ubuntu Pro, także tę. Dla standardowego jądra 5.4 nie ma jeszcze nawet wersji testowej, a jądra HWE 5.15 są w testach. Do czasu poprawki dodaj regułę Red Hata i zaplanuj przejście na 24.04 przez 22.04, które dostanie tę poprawkę bez Pro, ale standardowe wsparcie ma tylko do maja 2027.

Jeśli nikt u Ciebie nie pilnuje takich restartów, w usłudze utrzymania robię aktualizacje bezpieczeństwa w ustalonym oknie, a krytyczne poprawki wgrywam w ciągu kilku dni roboczych.

Gdy po restarcie uname -r pokaże numer z trackera dla jądra z tą samą końcówką i tym samym początkiem albo wyższy, na przykład 6.8.0-149-generic na zwykłym 24.04, ta luka przestaje dotyczyć Twojego serwera.