In Breve
- Qual è la vulnerabilità critica nel kernel Linux?
- La vulnerabilità CVE-2026-98432 espone i server self-hosted che utilizzano Xray e MPTCP.
- Come possono gli amministratori proteggere i loro server?
- Devono seguire una procedura in tre passaggi per applicare la patch al kernel.
- I server gestiti dai provider sono a rischio?
- No, i server gestiti da provider come Premium, Free e Business non sono interessati.
Una vulnerabilità critica del kernel Linux, identificata come CVE-2026-98432, sta sollevando preoccupazioni tra gli amministratori di server self-hosted. Questa falla, presente dalla versione 4.4 del kernel e con un punteggio di gravità di 9,8, espone i server che ospitano servizi VPN, in particolare quelli che utilizzano il protocollo Xray e la funzionalità MPTCP. La vulnerabilità è dovuta a una race condition nel codice che gestisce le nuove connessioni TCP IPv4, permettendo a un attaccante di compromettere completamente un server vulnerabile in circa 53 minuti, senza necessità di interazione da parte dell’utente o di password.
Fortunatamente, i server gestiti dai provider, incluse le versioni Premium, Free e Business, non sono interessati da questa vulnerabilità, poiché l’infrastruttura è già stata aggiornata e verificata. Tuttavia, gli amministratori che gestiscono server in proprio devono agire rapidamente per proteggere i loro sistemi.
Xray, il motore utilizzato da protocolli resistenti alla censura come VLESS, è particolarmente a rischio. Essendo sviluppato in Go, abilita MPTCP di default, il che può rendere la vulnerabilità attiva in modo invisibile. Per i server gestiti tramite l’app, è disponibile una procedura in tre passaggi per applicare la patch necessaria. Questa procedura richiede la versione 5.1.0.6 o successive dell’app:
- Rimuovere Xray dalla scheda Protocols del server;
- Selezionare Update server packages dalla scheda Management e riavviare la macchina per caricare il kernel patchato;
- Reinstallare Xray dalla scheda Protocols, assicurandosi di utilizzare la versione corretta 26.10.31.
Durante questa operazione, il server rimarrà offline e le connessioni Xray esistenti saranno interrotte, quindi sarà necessario ripristinare l’accesso agli utenti.
Tuttavia, è importante notare che la funzione di aggiornamento dell’app non garantisce sempre che il kernel sia effettivamente patchato. Su alcune versioni di Ubuntu, la correzione è disponibile solo nel canale di testing -proposed, e un successivo riavvio potrebbe riportare la macchina in uno stato vulnerabile fino a una nuova reinstallazione di Xray.
Se non è possibile applicare immediatamente la patch al kernel, gli amministratori possono considerare alcune mitigazioni temporanee, come configurare una regola firewall per bloccare le IP options o rimuovere Xray migrando al profilo UDP AmneziaWG. Prima di questa segnalazione, erano già state rilasciate una revisione di Xray-core a settembre e un aggiornamento obbligatorio per gli utenti Premium e Free.
