Linux TCP 漏洞 CVE-2026-98432：AWS 與 Ubuntu 公告說了什麼？
CVE-2026-98432 是 Linux 核心 IPv4 TCP 握手路徑的 use-after-free 漏洞，接受連入 IPv4 TCP 連線的主機與容器都該查。AWS 公告發布於 2026-10-30 22:15 PDT，最後更新於 2026-11-02 15:00 PST；截至台北時間 2026-11-04 01:18 查核，AWS 仍表示沒有在野利用的證據。
影響的寫法各家不同。Amazon Linux 的 CVE 頁寫主要影響是 DoS，或可能的記憶體毀損；Anthropic 的研究則在 MPTCP listener 上做出了遠端程式碼執行。漏洞本身不要求開 MPTCP，Go 團隊在 oss-security 的信和 Ubuntu 的 blog 都這樣寫。
誰該查
照 AWS 公告，自管 EC2、NLB TCP listener 與 PrivateLink 後面的 Linux 主機、ECS on EC2 都要自己更新；EKS 節點用的 AL2023 AMI 要升到 v20261031 以上。ALB、CloudFront、NLB 的 TLS listener 由 AWS 處理，不必立即動作，但後面自管的執行個體仍建議 30 天內更新。EC2 上跑的若是其他發行版，照該發行版的公告判斷。
修補狀態
表中「未列」指該公告沒寫；Ubuntu 只看 linux 套件，雲端 kernel flavour 要另外查。
| 發行版 | 正式可用 | 測試中（-proposed） | 處理中 | 不受影響 | 來源／頁面更新 |
|---|---|---|---|---|---|
| Amazon Linux | AL2：4.14、5.4、5.10、5.15；AL2023：6.1、6.12、6.18 | 未列 | 未列 | 未列 | AWS，2026-11-02 |
| Ubuntu | 未確認 | 22.04、24.04、26.04 | 16.04、18.04、20.04；26.10 兩頁說法不一 | 14.04 | CVE 頁，2026-11-03；blog，11-02 發布 |
| Red Hat | 未列 | 未列 | RHEL 8、9、10 與 OpenShift，尚未列 RHSA | 未列 | RHSB，2026-10-30 發布 |
Ubuntu 的 blog 把 26.10 寫成 7.3.0-10.10 已修，較晚更新的 CVE 頁仍標 work in progress，查核時兩頁還沒對上。-proposed 裡的套件還在測試，預設不會被選進更新。
檢查順序
- 盤點主機與容器裡接受連入的 IPv4 TCP 服務，有獨立網路的容器也要算進去。
- 找自己發行版、自己 kernel 套件的公告，Amazon Linux 可從 CVE 頁連到各份 ALAS。
- 安裝修補；鎖版的 AL2023 要用 release 2023.12.20261102 以上。
- 重開機。AWS 寫明更新核心加上重開機，才是完整的修復。
- 用
uname -r比對正在執行的核心與公告列的修補版本，Ubuntu 的 blog 也是這樣建議。
別只看上游版本號。AL2 的修補套件是 5.10.271-272.1121.amzn2，上游紀錄的 5.10 分支則從 5.10.272 起才算修好，差在廠商 backport。ALAS 也列了 livepatch RPM，但 AWS 公告沒說它能取代重開機。
暫時緩解
停用 MPTCP（net.mptcp.enabled=0）能暫時把風險降下來，漏洞還在。Go 1.24 起在 Linux 上預設對 listener 開 MPTCP，可用 GODEBUG=multipathtcp=0 關掉，見 Go 團隊的信。
Ubuntu 與 Red Hat 都附了一條 nftables 規則，丟棄帶 IPv4 options 的連入 TCP 封包。過濾的是 IP 標頭裡的 options，TCP options 不受影響。Ubuntu 註明規則只蓋到 host 本身，容器若有獨立的網路要另外套用。兩家都寫明這只能降低風險，修好核心後記得把規則拿掉。
補充筆記
- MPTCP 是那次 RCE 展示用到的條件；沒開 MPTCP 的系統，這個漏洞還是要查。
- Ubuntu 22.04、24.04、26.04 的修補還在
-proposed，要自己選才裝得到。 - 廠商會 backport，判斷有沒有修好要看完整的發行版套件版號。
- 更新核心後要重開機，再用
uname -r確認正在執行的版本。
延伸閱讀
- AWS 2026-160-AWS：AWS 自己發的服務處置公告，客戶該做的事以這份為準。
- Amazon Linux CVE 頁：Amazon Linux 各平台的套件狀態，可連到每一份 ALAS 查完整版號。
- Ubuntu CVE 頁：Canonical 的官方追蹤表，要按 release 與 kernel flavour 逐列看。
- Ubuntu blog：Canonical 對
-proposed修補與安裝方式的說明，26.10 的狀態要和 CVE 頁對照。 - Red Hat RHSB-2026-016：Red Hat 的受影響產品與緩解限制，查核時還沒列修補版本。
- CVE Program JSON：上游版本範圍的原始紀錄；發行版有沒有 backport，要看各家自己的公告。
- Go Security Team 的信：轉寄到 oss-security 的說明，交代 MPTCP 的角色與 Go 的預設值。
- Anthropic 研究：研究團隊對展示結果的報告，不能讀成已有在野利用。
想法與技術判斷出自 Sheng，和 Claude 一起起草 · 題目由 Sheng 選定，事實查核 Grok（grok-4.7），大綱 Claude Fable，內文 Codex（gpt-6-astra），去 AI 化 Grok（grok-4.7），二審 Claude Fable；資料查核至 2026-11-04 01:18。