Cyllium
Domov / Blog / Varovanie - kritická zraniteľnosť
Varovanie - kritická zraniteľnosť

Kritická zraniteľnosť v jadre Linuxu: čo robiť, kým nie sú dostupné všetky opravy

30.10.2026 10 min čítania Žaneta Steklová

Národný bezpečnostný úrad 30. októbra 2026 varoval pred kritickou zraniteľnosťou v jadre operačného systému Linux. Útočník ju môže za určitých podmienok zneužiť na diaľku, bez prihlasovacích údajov a bez akejkoľvek interakcie používateľa, a získať oprávnenia administrátora (root). Týka sa serverov, ktoré prijímajú spojenia z internetu, a viaceré rozšírené distribúcie na ňu zatiaľ nemajú opravu.

Zraniteľnosť s označením CVE-2026-98432 bola zverejnená už 15. októbra 2026. Vtedy sa zdalo, že v praxi spôsobí nanajvýš pád servera. Obraz zmenila až správa spoločnosti Anthropic z 27. októbra, podľa ktorej jej AI model v laboratórnych podmienkach napísal exploit, ktorý na serveri s protokolom MPTCP získal oprávnenia root na diaľku. Obídenie ochrany pamäte jadra trvalo 48 minút, spustenie príkazov ďalších päť.

Aktívne zneužívanie zatiaľ nie je známe a podľa NBÚ nebol k 30. októbru zverejnený ani plne funkčný zdrojový kód útoku. Na internete však už vznikajú repozitáre, ktoré zneužitie demonštrujú inými spôsobmi. A ako ukázal nedávny prípad PHP2SHELL, keď prvé pokusy o zneužitie zachytil Amazon ešte pred zverejnením chyby, čas na reakciu sa skracuje.

Pre vedenie aj IT z toho vyplýva jednoduchá otázka: viete dnes povedať, ktoré vaše linuxové servery a zariadenia prijímajú spojenia z internetu a kedy ich najbližšie aktualizujete a reštartujete?

1. O akú zraniteľnosť ide

Chyba sa nachádza v časti jadra, ktorá spracúva prichádzajúce IPv4 TCP spojenia. Keď server dostane opakovanú žiadosť o nadviazanie spojenia so špeciálne upravenými paketmi, ktoré obsahujú takzvané IPv4 voľby (options) v IP hlavičke, môže dôjsť k súbehu operácií. Jadro potom pracuje s pamäťou, ktorú už uvoľnilo (use-after-free). Výsledkom môže byť pád systému, únik alebo poškodenie pamäte jadra a v najhoršom prípade spustenie príkazov s oprávneniami root.

Tieto voľby posiela útočník priamo v pakete. Aplikácia na serveri ich nemusí nijako zapínať a nejde ani o bežné TCP voľby, ako sú MSS, časové značky či window scaling. Zraniteľné sú jadrá od verzie 4.4 z roku 2016, teda vydania za takmer desať rokov.

Hodnotenie závažnosti sa líši. Tím jadra Linux a Ubuntu ju hodnotia skóre CVSS 9.8 (kritická), Red Hat a SUSE 8.1, pretože útočník musí trafiť presné načasovanie. Neúspešný pokus však podľa správy Anthropic zlyhá iba pre dané spojenie, takže útočník môže skúšať znova, kým neuspeje.

2. Koho sa týka

Zraniteľné sú systémy, ktoré prijímajú IPv4 TCP spojenia z internetu alebo z nedôveryhodných sietí. Bežná odchádzajúca komunikácia, keď server alebo počítač vystupuje ako klient, zraniteľná nie je. Chyba sa netýka ani IPv6.

V praxi ide najmä o:

  • webové servery, e-shopy, klientske portály a reverzné proxy,
  • e-mailové servery a webmail,
  • VPN servery s protokolom TCP (napríklad OpenVPN) a proxy servery,
  • verejne dostupné ústredne a ďalšie TCP služby vrátane SSH a správcovských rozhraní,
  • komerčné zariadenia postavené na Linuxe, napríklad firewally, routery, NAS či VPN brány,
  • virtuálne servery v cloude a hostiteľské servery pre kontajnery (Docker, Kubernetes).

Dva detaily sa ľahko prehliadnu. Kontajnery nemajú vlastné jadro, používajú jadro hostiteľa, takže aktualizácia obrazu kontajnera nestačí a opravu treba nasadiť na hostiteľský systém. A pri zariadeniach tretích strán neexistuje úplný zoznam zasiahnutých výrobkov. Ak firewall, NAS alebo VPN bránu nemáte pod priamou správou, opýtajte sa výrobcu alebo dodávateľa.

Laboratórny útok cielil na server s protokolom MPTCP (Multipath TCP). Aplikácie ho v Linuxe musia výslovne zapnúť, programy v jazyku Go od verzie 1.24 to však robia predvolene. NBÚ zároveň upozorňuje, že samotná chyba nie je obmedzená na MPTCP a jeho vypnutie nemožno považovať za odstránenie rizika.

3. Stav opráv k 30. októbru 2026

Opravu obsahujú verzie jadra 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 a 7.3. Distribúcie však opravy často prenášajú aj do starších balíkov, preto sa neriaďte iba číslom verzie, ale stavom u konkrétneho výrobcu:

  • Debian má opravené balíky 6.1.190-1 pre Bookworm a 6.12.113-1 pre Trixie.
  • Ubuntu pri verziách 22.04, 24.04, 26.04 a 26.10 opravu zatiaľ nevydalo, pracuje na nej. Zraniteľné sú aj staršie verzie 16.04 až 20.04.
  • Red Hat označuje RHEL 8, 9 a 10 za zraniteľné a vydanie opráv odložil. RHEL 7 podľa výrobcu dotknutý nie je.
  • SUSE a openSUSE majú opravy pre časť produktov, pri ďalších je oprava v príprave.
  • Oracle Linux vydal opravy jadier UEK pre verzie 7 až 10 (ELSA-2026-500397 až 500399). Netýkajú sa alternatívneho jadra RHCK.
  • Amazon Linux 2023 má opravené balíky kernel6.12 a kernel6.18. Pri ostatných jadrách pre Amazon Linux 2 a 2023 sa oprava ešte pripravuje.
  • AlmaLinux, Rocky Linux a CentOS Stream: sledujte oznámenia výrobcu, stav pri RHEL sa na ne nedá automaticky preniesť. CentOS Linux už aktualizácie nedostáva.

Stav sa mení zo dňa na deň. Aktuálne informácie nájdete na stránkach výrobcov, ktoré uvádzame v zdrojoch na konci článku.

4. Čo urobiť už teraz

Kým nie sú opravy dostupné všade, rozhoduje rýchlosť a prehľad. Odporúčame postupovať v tomto poradí:

  1. Zmapujte linuxové systémy a TCP služby dostupné z internetu a z nedôveryhodných sietí, vrátane manažmentu, proxy a VPN. Bez tohto zoznamu nebudete vedieť, čo aktualizovať ako prvé.
  2. Kde je oprava dostupná, aktualizujte jadro a systém reštartujte. Nové jadro začne platiť až po reštarte. Prednosť majú systémy vystavené do internetu.
  3. Kde oprava zatiaľ nie je (Ubuntu, RHEL a odvodené distribúcie), pripravte sa vopred. Sledujte stránky výrobcu, vopred schváľte aktualizáciu a naplánujte okno na reštart, aby ste opravu mohli nasadiť v deň vydania.
  4. Obmedzte dosah TCP služieb na dôveryhodné zdroje. Správcovské rozhrania a SSH by nemali byť dostupné z celého internetu. Kritické služby bez primeranej ochrany izolujte.
  5. Zvážte dočasné firewallové pravidlo, ktoré blokuje IPv4 TCP pakety s IP voľbami (podrobnosti nižšie).
  6. Vyžiadajte si potvrdenie od dodávateľov. Ak vám servery, hosting alebo sieťové zariadenia spravuje niekto iný, opýtajte sa, kedy jadro aktualizujú a aké dočasné opatrenia nasadili.

5. Dočasné opatrenia pre administrátorov

Firewallové pravidlo. NBÚ odporúča blokovať IPv4 TCP pakety s IP voľbami ešte predtým, ako sa dostanú k TCP stacku jadra. Hodnota IHL 5 znamená štandardnú 20-bajtovú hlavičku bez volieb. Príklad pre nftables:

table ip cve_2026_98432_guard {
    chain local_input {
        type filter hook input priority -10; policy accept;
        ip protocol tcp ip hdrlength > 5 counter drop
    }
}

Pravidlo najprv overte príkazom nft -c -f SUBOR a začleňte ho do existujúcej správy firewallu. Samotný reťazec INPUT nechráni forwardovanú prevádzku ani všetky kontajnerové menné priestory (namespaces). Pre servery za bránou je potrebné pravidlo aj v ceste FORWARD alebo priamo na cieľovom systéme. Opatrenie neblokuje bežné TCP voľby, môže však narušiť legitímnu prevádzku, ktorá IPv4 voľby používa.

Sieťové firewally a IPS. Na pfSense overte, že pravidlá nemajú zapnutú voľbu Allow IP Options. Na Palo Alto (PAN-OS) použite v Zone Protection Profile možnosť IP Option Drop pre príslušnú vstupnú zónu. Pri ostatných zariadeniach si od dodávateľa vyžiadajte podporovaný ekvivalent. IPS nastavte na blokovanie, nie iba na upozornenie.

Vypnutie MPTCP. Ak MPTCP nepoužívate, nastavte net.mptcp.enabled=0. Nastavenie platí pre každý sieťový menný priestor zvlášť a už bežiace služby treba riešiť osobitne, napríklad ich reštartom. Ide o doplnkové opatrenie, nie o úplnú ochranu.

6. Ako zistiť, či už nedošlo k zneužitiu

Univerzálne indikátory kompromitácie (IOC) ani sieťová signatúra, ktorá by jednoznačne dokazovala úspešný útok, zatiaľ nie sú známe. Sledovať sa oplatí najmä:

  • pády jadra a hlásenia use-after-free, v ktorých sa objavujú funkcie ip_options_build, tcp_v4_syn_recv_sock alebo inet_sock_destruct,
  • IPv4 TCP SYN pakety s voľbami v IP hlavičke (IHL väčšie ako 5) a opakované neobvyklé pokusy o nadviazanie spojenia,
  • počítadlá blokovacieho pravidla, ak ste ho nasadili.

Na krátke diagnostické sledovanie môžete použiť:

tcpdump -ni <rozhranie> 'ip proto 6 and ([0] & 0x0f) > 5'

Samotné IP voľby, opakované pakety či RST ešte nie sú dôkazom útoku a ticho v logoch zasa nevylučuje kompromitáciu. Logy preto uchovávajte mimo sledovaného systému. Pri podozrení, že útočník získal oprávnenia root, systém izolujte, zachovajte dôkazy a kontaktujte SK-CERT. Ak ste prevádzkovateľom základnej služby, myslite aj na povinnosť hlásiť závažný kybernetický bezpečnostný incident podľa zákona o kybernetickej bezpečnosti.

Oprava jadra nie je hotová, kým server nereštartujete

Pri zraniteľnostiach v aplikáciách často stačí aktualizovať balík a reštartovať službu. Pri jadre to nejde: oprava začne platiť až po reštarte celého servera. A práve reštarty produkčných systémov sa v mnohých firmách odkladajú, pretože znamenajú výpadok, koordináciu a niekoho, kto pri tom bude.

Táto zraniteľnosť ukazuje, prečo sa to oplatí riešiť ako proces, nie ako jednorazovú akciu. Organizácia, ktorá má aktuálny zoznam serverov vystavených do internetu, vopred dohodnuté servisné okná a otestovaný postup reštartu, nasadí opravu v deň jej vydania. Ostatné ju budú nasadzovať v čase, keď sa o zraniteľnosti už vie všade, aj medzi útočníkmi.

Ak sa vaša organizácia riadi zákonom č. 69/2018 Z. z. o kybernetickej bezpečnosti, NIS2 alebo normou ISO/IEC 27001, riadenie zraniteľností a aktualizácií už máte v požiadavkách. Takéto situácie sú dobrou príležitosťou overiť si, či proces funguje aj v praxi, nielen na papieri.

„Pri tejto zraniteľnosti nerozhoduje, či máte najnovšiu verziu webu alebo aplikácie, ale či viete rýchlo aktualizovať jadro a reštartovať server. Kým oprava nie je dostupná pre všetky distribúcie, najviac pomôže prehľad: vedieť, ktoré servery sú dostupné z internetu, obmedziť k nim prístup a mať pripravené okno na reštart. Firmy, ktoré to majú zvládnuté, nasadia opravu v deň, keď ju výrobca vydá.“

Potrebujete pomôcť s preverením linuxových serverov, nastavením dočasných opatrení alebo aktualizáciou? Ozvite sa nám na info@cyllium.eu. Pomôžeme vám zmapovať systémy vystavené do internetu, nastaviť firewall a naplánovať bezpečné nasadenie opráv.

#CyberSecurity #ManažérKybernetickejBezpečnosti #AuditKybernetickej Bezpečnosti #Cyllium #Linux