Разработчики Xray выпустили экстренное обновление v26.10.31, которое отключает MPTCP по умолчанию. Причиной стала критическая уязвимость ядра Linux, позволяющая удалённо получить права root без пароля. Предыдущую версию v26.10.29 отозвали, а пользователям рекомендовали обновить не только Xray, но и операционную систему.
Проблема получила идентификатор CVE-2026-98432 и оценку 9,8 балла из 10 по шкале CVSS. Ошибка затрагивает обработку сетевых соединений и присутствует в ядре Linux начиная с версии 4.4. При определённых условиях злоумышленник может отправить специально подготовленные пакеты и выполнить команды с максимальными привилегиями. Для атаки не требуется доступ к учётной записи сервера.
Практическую возможность взлома продемонстрировали исследователи Anthropic. С помощью экспериментальной модели Claude они создали эксплойт, который позволил захватить Linux-сервер примерно за 53 минуты. Сначала удалось обойти защиту памяти KASLR, а затем перенаправить выполнение кода на подготовленную цепочку команд.
Особую опасность уязвимость представляет для приложений на Go. Начиная с версии 1.24, язык может автоматически включать MPTCP для серверных соединений в Linux. При этом разработчики предупреждают, что проблема не ограничивается Multipath TCP. Некоторые обычные TCP-соединения тоже могут создавать условия для атаки.
Исправления уже появились в поддерживаемых ветках Linux, включая версии 6.1.190 и 6.12.113. Обновления выпускают и производители дистрибутивов. Владельцам серверов Amazon Linux, Debian и Red Hat стоит проверить доступность исправленных пакетов. После установки обновления ядра может потребоваться перезагрузка, без которой защита не вступит в силу.
Если обновление пока недоступно, временно снизить риск поможет отключение MPTCP через параметр net.mptcp.enabled=0. В приложениях на Go также можно использовать настройку GODEBUG=multipathtcp=0. Однако эти меры не устраняют саму уязвимость.
По состоянию на 31 октября подтверждений использования CVE-2026-98432 в реальных атаках не было. Тем не менее администраторам стоит проверить все доступные из интернета Linux-серверы, даже если на них не установлен Xray. Обновление приложения само по себе не заменяет исправление ядра.
Источник: trashbox.ru