رجوع

2026/11/04

CVE-2026-98432: ثغرة use-after-free في TCP بنواة Linux، وصلاحيات root عن بُعد بمساعدة الذكاء الاصطناعي عبر MPTCP، وحماية Linux للمؤسسات

حالة تسابق في معالجة IPv4 TCP في Linux، وعرض لصلاحيات root عن بُعد عبر MPTCP، وإصلاحات المورّدين وإجراءات التخفيف لـ RHEL وUbuntu وOracle Linux وDebian.

تاريخ التحقق من المعلومات: 3 نوفمبر 2026 | تحليل تقني من LOGIQ

في أكتوبر 2026، كُشف عن ثغرة من نوع الاستخدام بعد التحرير (use-after-free أو UAF)، تحمل المعرّف CVE-2026-98432، في معالجة اتصالات IPv4 TCP في نواة Linux. وأصدر فريق CVE الخاص بنواة Linux إشعاره في 15 أكتوبر. وفي 27 أكتوبر، أعلنت Anthropic أن نموذجًا بحثيًا داخليًا غير منشور لديها تمكّن من تنفيذ أوامر عن بُعد دون مصادقة وبصلاحيات root على خادم Linux يحتوي على مستمع MPTCP (Multipath TCP). والأهم ألا تُخلط ظروف الاستغلال المحددة هذه بالمخاطر الأوسع للثغرة ولحجب الخدمة التي تطال خدمات IPv4 TCP العادية.

أبرز النقاط

  • الخلل حالة تسابق في المعالجة العادية لطلبات اتصال IPv4 TCP، وهو موجود منذ Linux 4.4. ولا يتطلب الخلل نفسه وجود MPTCP.
  • استهدف عرض Anthropic للحصول على صلاحيات root عن بُعد خادمًا يحتوي على مستمع MPTCP؛ أما خدمات TCP الأخرى فلا تزال معرّضة للأعطال وحجب الخدمة وإفساد الذاكرة.
  • تصنّف Red Hat المشكلة بدرجة Critical (CVSS v3.1 9.8)، وأصدرت أنوية مُصحَّحة لـ RHEL 8 و9 و10 في 1 نوفمبر. وكانت إصلاحات Ubuntu لا تزال قيد العمل في 3 نوفمبر.
  • ثبّت نواة مُصحَّحة معتمدة من المورّد، وأعد التشغيل، وتأكد من النواة قيد التشغيل. فالإجراءات المؤقتة تقلّل التعرّض لكنها لا تغني عن التصحيح.

أين يحدث التسابق

تتعلق المشكلة بالمصافحة الثلاثية في IPv4 TCP. إذ يمكن نقل خيارات IP المحفوظة في مقبس الطلب (ireq->ireq_opt) إلى inet_opt الخاص بالمقبس الفرعي أثناء tcp_v4_syn_recv_sock() دون نسخها. وإذا كانت وحدة معالجة أخرى تعالج حزمة SYN مُعاد إرسالها وتبني SYN/ACK في أثناء إتلاف المقبس الفرعي، فقد تُحرَّر ذاكرة الخيارات وهي لا تزال قيد الاستخدام. وقد يؤدي الوصول اللاحق إليها من دوال مثل ip_options_build() إلى حدوث UAF.

وتوجد حالة تسابق مرتبطة في ترحيل مقابس الطلب عبر net.ipv4.tcp_migrate_req=1 أو BPF_SK_REUSEPORT_SELECT_OR_MIGRATE، حيث يمكن أن تتشارك مقابس الطلب الأصلية والمستنسخة بيانات الخيارات. ويعود السلوك المعرّض للثغرة إلى Linux 4.4، لكن يجب تقييم التعرّض الفعلي لكل نواة من نوى المورّدين على حدة، بما في ذلك التصحيحات المنقولة (backports).

يغيّر الالتزام التصحيحي في الفرع الرئيسي e3f33b0a1d89 (“ipv4: free inet_opt and ireq_opt after an RCU grace period”) التحرير الفوري للذاكرة في inet_sock_destruct() وtcp_v4_reqsk_destructor() إلى تحرير مؤجَّل عبر RCU باستخدام kfree_rcu(). ويحدد إشعار Linux CVE الإصلاحات في إصدارات النواة 6.12.113 و6.18.56 و7.2.10 و7.3-rc7. أما مسار IPv6 الأولي فليس هو الثغرة نفسها، وإن كان مسار ترحيل في IPv6 يتضمن CALIPSO يُعالَج بتصحيح منفصل.

لا تخلط بين صلاحيات root عن بُعد التي جرى عرضها والتعرّض العام

استهدف إثبات المفهوم من Anthropic خادمًا يحتوي على مستمع MPTCP، وجمع بين تسريب معلومات عناوين النواة والاستيلاء على مسار التنفيذ. ووفق ما أُعلن، استغرقت التجربة نحو 48 دقيقة للحصول على تسريب المعلومات، وخمس دقائق أخرى لتحقيق تنفيذ الأوامر. ولأن خسارة التسابق تؤدي فقط إلى فشل المصافحة لا إلى انهيار النظام، يستطيع المهاجم مواصلة المحاولة. غير أن ثغرة UAF الأساسية تقع في المعالجة العادية لطلبات اتصال IPv4 TCP، وليست محصورة في شيفرة MPTCP.

لم يُعرض أسلوب الاستغلال نفسه للحصول على صلاحيات root عن بُعد على كل خدمة TCP تقليدية لا تستخدم MPTCP. ومع ذلك، من الخطأ أيضًا افتراض أن تعطيل MPTCP يجعل النظام آمنًا تمامًا. إذ توضح Red Hat أن MPTCP ليس شرطًا لازمًا، وأن الأنظمة التي يكون فيها MPTCP معطّلًا (وهو الإعداد الافتراضي) تظل متأثرة، وتحذّر من أعطال عن بُعد دون مصادقة وحجب الخدمة وإفساد الذاكرة في خدمات IPv4 TCP القياسية.

تقييمات المورّدين الرئيسيين: الخطورة وحالة الإصلاح

الحالة كما تم التحقق منها في 3 نوفمبر 2026. صفحات المورّدين تتغيّر؛ فراجع دائمًا الإدخال الحالي قبل اتخاذ أي إجراء.

المورّدالخطورةحالة الإصلاح
Red HatCritical، CVSS v3.1 9.8صدرت أنوية مُصحَّحة في 1 نوفمبر: RHEL 8 (RHSA-2026:93414؛ وkernel-rt لـ NFV RHSA-2026:93415)، وRHEL 9 (RHSA-2026:93412)، وRHEL 10 (RHSA-2026:93413). ولا يزال kernel-rt في RHEL 9 وOpenShift (RHCOS) مدرجين بحالة Affected. ولا يتأثر RHEL 6 و7.
UbuntuPriority High؛ CVSS 9.8حزمة linux للإصدارات 26.10 و26.04 و24.04 و22.04: Vulnerable, work in progress. والإصدارات 20.04 و18.04 و16.04: Vulnerable. لم تصدر حزمة مُصحَّحة بعد.
Oracle LinuxImportant؛ CVSS مبدئي 8.1نشرات تصحيح UEK بتاريخ 16 أكتوبر (ELSA-2026-500397 و-500398 و-500399) للإصدارات من OL7 إلى OL10. ونشرات تصحيح RHCK بتاريخ 2 نوفمبر لـ OL8 (ELSA-2026-93414) وOL10 (ELSA-2026-93413)؛ ولم تُدرج بعد نشرة RHCK لـ OL9.
Debian(Security Tracker)مُصحَّح في bookworm 6.1.190-1 (DLA-4841-1)، وbookworm linux-6.12 6.12.113-1~deb12u1 (DLA-4850-1)، وtrixie 6.12.113-1 (DSA-6568-1)؛ كما صُحِّح في forky وsid.

Red Hat (عُدِّل التقييم في 30 أكتوبر؛ وآخر تحديث للنشرة في 2 نوفمبر). تصنّف صفحة CVE الرسمية المشكلة بدرجة Critical، CVSS v3.1 9.8، لأن مهاجمًا عن بُعد دون مصادقة يمكنه إفساد ذاكرة النواة أو إسقاط النظام عبر حركة IPv4 TCP عادية. وتُدرج RHEL 8 و9 و10 وOpenShift على أنها متأثرة؛ أما نواة RHEL 7 فمدرجة على أنها غير متأثرة لغياب الشيفرة المعنية. ومنذ 1 نوفمبر، تُدرج بيانات CVE لدى Red Hat الأنوية المُصحَّحة: kernel-4.18.0-553.182.1.el8_10 (RHEL 8)، وkernel-5.14.0-687.64.1.el9_8 (RHEL 9)، وkernel-6.12.0-211.72.1.el10_2 (RHEL 10). وكانت نشرة الأمان RHSB-2026-016 لا تزال بحالة «جارية»، وهي المرجع لإجراء التخفيف. لا تعرض الدرجات الأقدم من المصادر الثانوية، مثل 5.9 أو 8.1، على أنها تقييم Red Hat الحالي.

Ubuntu (آخر تحديث للجدول الرسمي في 30 أكتوبر). درجة CVSS للثغرة 9.8، بينما أولوية Ubuntu الخاصة High. وحزم linux القياسية لـ Ubuntu 26.10 و26.04 و24.04 و22.04 موسومة بـ “Vulnerable, work in progress”، مع عرض إصدارات الإصلاح المخطط لها على الصفحة؛ أما 20.04 فموسوم بـ Vulnerable، ضمن حالات أخرى. ويجب تقييم أنواع النواة الخاصة بـ AWS وAzure وHWE وRT وغيرها كلٌّ على حدة. وعبارة “Work in progress” لا تعني أن إصلاحًا قد صدر.

Oracle Linux. تقييم Oracle الخاص هو Important، بدرجة CVSS مبدئية 8.1. وتحمل نشرات تصحيح UEK للإصدارات OL7 وOL8 وOL9 وOL10 تاريخ 16 أكتوبر، وتلتها نشرات تصحيح RHCK لـ OL8 وOL10 في 2 نوفمبر. ولا يجوز تعميم الإصلاحات في UEK على RHCK أو على كل إصدار فرعي؛ قيّم النواة المثبّتة ونشرات التصحيح المحددة.

Debian. يصنّف Security Tracker الرسمي الإصدارين bookworm-security 6.1.190-1 وtrixie-security 6.12.113-1، ضمن غيرهما، على أنهما مُصحَّحان. تحقّق من إصدارات الحزم المثبّتة ومن النواة قيد التشغيل بعد إعادة التشغيل معًا.

قد تختلف نتائج CVSS بين جهة CNA والمورّدين بسبب الإعدادات والإصلاحات الخاصة بكل توزيعة، وقد تتغير التقييمات. سجّل دائمًا تاريخ التحقق وأضف رابطًا إلى كل مصدر رسمي.

إجراءات الحماية: التخفيف ليس بديلًا عن التصحيح

الأولوية الأولى هي تثبيت نواة مُصحَّحة معتمدة من المورّد، والتحقق من الإصدار قيد التشغيل بعد إعادة التشغيل. وحيثما لا يتوفر إصلاح بعد، فكّر في إغلاق خدمات TCP العامة غير الضرورية، وتقييد الشبكات المصدرية المسموح بها، وإعطاء الأولوية لمراقبة المضيفات المكشوفة.

تصف نشرة Red Hat إجراء تخفيف باستخدام nftables يُسقط حزم IPv4 TCP الواردة التي تحمل خيارات IP في ترويسة IPv4:

table inet cve_2026_98432 {
  chain input {
    type filter hook input priority -310; policy accept;
    ip protocol tcp ip hdrlength > 5 counter drop
  }
}

هذا ليس حماية كاملة، وقد يعطّل أحمال العمل التي تعتمد على خيارات IP، ويجب اختبار أثره على حركة الأعمال قبل نشره. وتظل خيارات TCP العادية في ترويسة TCP مسموحًا بها؛ فالأمر لا يتعلق بحظر حقل TCP Options. وفي OpenShift، لا تُرشّح القواعد على مستوى العُقد الحركة بين الحاويات (pods) داخل شبكة العنقود، لذا تكتسب التصفية عند حدود الشبكة أهمية هناك. أزل الجدول بمجرد تشغيل النواة المُصحَّحة.

نصيحة: بعد التصحيح، قارن ناتج uname -r بالإصدار المُصحَّح المذكور في نشرة التصحيح من المورّد، واحتفظ بهذا الناتج مع سجل التغيير. فالحزمة المثبّتة التي لم يُقلَع منها بعد لا تسد الثغرة.

على Linux، تفعّل حزمة net في لغة Go، بدءًا من Go 1.24، بروتوكول MPTCP للمستمعين افتراضيًا. ويوثّق فريق Go الإعداد GODEBUG=multipathtcp=0 وسيلةً لتعطيله (ويتوفر أيضًا كسطر godebug في go.mod). ولا يزال مقترح لتغيير الإعداد الافتراضي قيد النقاش، ويشير مشرفو Go إلى أن النواة المُصحَّحة هي الإصلاح الحقيقي. ويمكن لهذا الإعداد تقليل التعرّض لمسار الهجوم المعتمد على MPTCP الذي عرضته Anthropic، لكنه لا يصلح ثغرة UAF في النواة نفسها. راجع استخدام MPTCP خدمةً تلو الأخرى.

منظور LOGIQ

لا يمكن في صيانة Linux للمؤسسات الحكم على الأمان من خلال درجة CVSS العامة أو ناتج uname -r وحدهما. قيّم معًا إصدار نظام التشغيل، وعائلة النواة (UEK مقابل RHCK مثلًا)، وإصدار الحزمة، والنواة المُقلَعة حاليًا، والتعرّض الشبكي، وإعدادات MPTCP، ونشرات التصحيح من المورّد، وما يثبت إعادة التشغيل. وتتبّع السلسلة كاملة، من تقييم الأثر والتحقق مرورًا بالنشر وصولًا إلى المراقبة التشغيلية.

وحيثما تكون إصلاحات المورّد معلّقة، وثّق المخاطر المتبقية الناتجة عن إجراءات التخفيف المؤقتة، وأعد تقييم تلك الإجراءات بعد صدور التصحيحات. ومع ازدياد قابلية استغلال الثغرات عمليًا بفضل الذكاء الاصطناعي، يجب أن تغطي صيانة المؤسسات دورة الحياة كاملة: الاكتشاف، والتحقق، والمعالجة، وإثبات سلامة التشغيل.

المصادر الأولية والمراجع