In Breve
- Qual è la vulnerabilità del kernel Linux?
- La vulnerabilità CVE-2026-98432 consente a un attaccante di compromettere server self-hosted in circa 53 minuti.
- Chi è a rischio?
- I server self-hosted che utilizzano il protocollo Xray e MPTCP sono particolarmente vulnerabili.
- Cosa devono fare gli amministratori?
- Devono applicare le patch necessarie e seguire le procedure di aggiornamento indicate.
Una vulnerabilità critica del kernel Linux, identificata con il codice CVE-2026-98432, sta suscitando preoccupazioni tra gli amministratori di server self-hosted. Questa falla, presente dal rilascio della versione 4.4 e con un punteggio di gravità pari a 9,8, espone in particolare i server che utilizzano il protocollo Xray e la funzionalità MPTCP. La vulnerabilità è dovuta a una race condition nel codice che gestisce le nuove connessioni TCP IPv4, permettendo a un attaccante di compromettere completamente un server vulnerabile in circa 53 minuti, senza necessità di interazione da parte dell’utente o di password.
I server gestiti dai provider, come le versioni Premium, Free e Business, non sono interessati da questa vulnerabilità, poiché la loro infrastruttura è già stata aggiornata e verificata. Tuttavia, gli amministratori che gestiscono server in proprio devono agire tempestivamente per proteggere le loro installazioni.
Xray, il motore utilizzato da protocolli resistenti alla censura come VLESS, è particolarmente a rischio. Essendo sviluppato in Go, abilita MPTCP di default, il che può lasciare la vulnerabilità attiva in modo invisibile agli amministratori.
Per i server gestiti tramite l’app, è disponibile una procedura in tre passaggi per applicare la patch necessaria. Questa procedura richiede la versione 5.1.0.6 o successive dell’app:
- Rimuovere Xray dalla scheda Protocols del server;
- Selezionare Update server packages dalla scheda Management e riavviare la macchina, caricando così il kernel patchato;
- Reinstallare Xray dalla scheda Protocols, utilizzando la versione corretta 26.10.31.
Durante questa operazione, il server resterà offline e le connessioni Xray esistenti saranno interrotte, quindi sarà necessario ripristinare l’accesso per gli utenti.
Tuttavia, è importante notare che la funzione di aggiornamento dell’app non garantisce sempre che il kernel sia effettivamente patchato. In alcune versioni di Ubuntu, la correzione è disponibile solo nel canale di testing “-proposed”, e un riavvio successivo potrebbe riportare il server in uno stato vulnerabile fino a una nuova reinstallazione di Xray.
Se non è possibile applicare immediatamente la patch al kernel, sono state suggerite alcune mitigazioni temporanee, tra cui l’implementazione di una regola firewall per bloccare le IP options o la rimozione di Xray con la migrazione al profilo UDP AmneziaWG. Prima di questa segnalazione, erano già stati rilasciati aggiornamenti per Xray-core a settembre e un aggiornamento obbligatorio per gli utenti Premium e Free.
