Luka w jądrze Linuksa: Ubuntu wciąż bez gotowej poprawki

Serwery z Ubuntu 22.04, 24.04 i 26.04 nadal nie dostają w zwykłych aktualizacjach poprawki krytycznej luki w jądrze Linuksa CVE-2026-98432, choć Debian wydał ją 16 października, a Red Hat 1 listopada. Według Canonical luka może pozwolić na zdalne wykonanie kodu. Canonical napisał wieczorem 2 listopada, że poprawione jądra są dopiero w testowym repozytorium -proposed i trafią do zwykłych aktualizacji po zakończeniu testów. Daty nie podał. Ubuntu 16.04, 18.04 i 20.04 dostaną poprawkę wyłącznie w ramach subskrypcji Ubuntu Pro. Canonical pisze też, że wyłączenie MPTCP, polecane przez część poradników, nie wystarcza. Stan na 3 listopada 2026 roku, godz. 15:55, według wpisu Canonical, strony CVE Ubuntu, danych Debiana i bazy Red Hat.

Jak sprawdzić wersję jądra w Ubuntu

Wersję działającego jądra pokazuje polecenie uname -r, wpisane w terminalu serwera. Canonical każe porównać wynik z tabelą wersji z poprawką. Listę zainstalowanych pakietów jądra pokaże drugie polecenie z tego samego wpisu:

uname -r
dpkg -l 'linux-image*' | grep ^ii

Wynik uname -r ma postać w rodzaju 5.15.0-203-generic. Ubuntu numeruje jądra po swojemu, więc nie porównuj go z wersjami jądra głównego, takimi jak 5.15.223. Liczy się numer po myślniku. W tabeli Canonical ten sam numer stoi przed kropką: poprawione jądro dla 22.04 ma wersję 5.15.0-203.213, dla 24.04 6.8.0-149.149, a dla 26.04 7.0.0-43.43. Niższy numer oznacza jądro bez poprawki.

Końcówka wyniku mówi, z którego pakietu pochodzi jądro. Serwery w chmurze często mają własne warianty, na przykład -aws, -azure, -gcp, -kvm albo -oracle, z inną numeracją. Dla nich wersje w przygotowaniu podaje strona CVE-2026-98432 w Ubuntu. Dla 24.04 to 6.8.0-1069.74 w linux-aws i 6.8.0-1073.82 w linux-azure, dla 22.04 5.15.0-1112.117 w linux-kvm. Strona była ostatnio aktualizowana 30 października.

Nowe jądro zaczyna działać dopiero po restarcie. Jeśli dpkg pokazuje nowszy pakiet niż uname -r, serwer czeka na restart.

Stan poprawki CVE-2026-98432: Ubuntu, Debian i Red Hat

Debian wydał poprawkę 16 października, dzień po publikacji luki, a Red Hat 1 listopada. Ubuntu ma ją tylko w repozytorium testowym. Szczegóły z dokumentów dystrybucji:

Strony Ubuntu nie zgadzają się co do wersji 26.10. Wpis Canonical podaje “Fixed in 7.3.0-10.10”, a strona CVE z 30 października wciąż opisuje to wydanie jako podatne, z pracami w toku. Dane Debiana pochodzą z systemu śledzenia luk Debiana. Debian zaznacza, że wersje jądra z głównego archiwum (6.1.176 w bookworm, 6.12.107 w trixie) są podatne, więc poprawkę daje dopiero repozytorium security.

Co zrobić dziś z serwerem na Ubuntu

Canonical uważa aktualizację jądra za jedyne właściwe zabezpieczenie i do czasu wydania poprawki nie poleca żadnego obejścia.

Trzy kroki na dziś

1. Sprawdź wersję jądra i wariant poleceniem uname -r. Zapisz, które serwery mają Ubuntu 22.04 lub nowsze, a które 16.04, 18.04 albo 20.04.
2. Zaplanuj restart. Po wydaniu poprawki w zwykłych aktualizacjach wystarczy sudo apt update, instalacja aktualizacji i restart, ale okno serwisowe lepiej ustalić już teraz.
3. Śledź stronę CVE w Ubuntu i biuletyny USN. 3 listopada Canonical wydał dziesięć biuletynów z nowymi jądrami, od USN-8959 do USN-8968. Żaden nie zawiera poprawki CVE-2026-98432, więc nowe jądro z dzisiejszego apt upgrade tej luki nie łata. Rekord CVE w Ubuntu, zaktualizowany 3 listopada o 13:24, nadal podaje dla wersji 22.04, 24.04 i 26.04 status “pending”.

Poprawka z repozytorium -proposed

Poprawkę z -proposed można zainstalować od razu, ale Canonical kieruje tę opcję do tych, którzy sami testują jądra przed wdrożeniem. Pakiety z -proposed przechodzą jeszcze testy automatyczne, certyfikację na sprzęcie i testy regresji. Do zwykłych aktualizacji trafiają dopiero, gdy Canonical uzna je za gotowe do ogólnego użytku, jak opisuje dokumentacja jądra Ubuntu. Canonical podaje takie polecenia:

sudo add-apt-repository --component main --pocket proposed http://archive.ubuntu.com/ubuntu
sudo apt update
dpkg-query -W -f '${source:Package}\t${binary:Package}\n' | awk '$1 ~ "^linux-meta" { print $2 }' | xargs sudo apt install -t $(. /etc/os-release && echo $VERSION_CODENAME)-proposed --only-upgrade
sudo reboot

Najpierw sprawdź je na serwerze testowym albo kopii produkcji. Pakiety z -proposed nie instalują się same, polecenie wskazuje je wprost.

Ubuntu 16.04–20.04 i kontenery

Serwery z Ubuntu 16.04, 18.04 i 20.04 nie dostaną poprawki bez Ubuntu Pro. Standardowy pakiet linux w Ubuntu 14.04 nie jest podatny, ale strona CVE oznacza jako podatne niektóre warianty chmurowe, m.in. linux-aws i linux-azure. Wersje 20.04 i 18.04 obejmuje rozszerzone wsparcie ESM, a 16.04 wymaga ESM z dodatkiem Legacy. Według Canonical Ubuntu Pro jest darmowe do 5 maszyn, a dla członków społeczności Ubuntu do 50. Strona produktu pisze “Always free for personal use”, firmy mają 30-dniowy okres próbny. Taki serwer warto przy okazji przenieść na nowsze wydanie.

Kontener z obrazem Ubuntu korzysta z jądra serwera, na którym działa. Aktualizacja obrazu w kontenerze nie usuwa tej luki, liczy się jądro hosta. Jeśli VPS działa jako kontener u dostawcy, o jądrze decyduje dostawca, a podstawy ochrony serwera opisujemy w poradniku o zabezpieczaniu VPS-a.

Czy wyłączenie MPTCP chroni przed CVE-2026-98432

Nie. Canonical pisze wprost, że poprawka nie dotyczy wyłącznie MPTCP (multipath TCP, czyli prowadzenia jednego połączenia kilkoma trasami naraz). Zalecenia, by wyłączyć MPTCP, wzięły się według Canonical tylko z opisu exploita Anthropic, który używa MPTCP i nie został opublikowany. Sam błąd siedzi w obsłudze nawiązywania połączeń TCP po IPv4. Canonical dodaje, że w chwili pisania wpisu nie było znanego innego exploita, wygenerowanego ani opublikowanego. O atakach na serwery Canonical nie pisze.

Wyłączenie MPTCP może więc utrudnić powtórzenie tej jednej demonstracji, ale nie usuwa luki.

Czym jest luka CVE-2026-98432 w jądrze Linuksa

CVE-2026-98432 to błąd typu “użycie pamięci po zwolnieniu” w kodzie, który obsługuje przychodzące połączenia TCP po IPv4. Zespół CVE jądra opublikował go 15 października 2026 roku z oceną 9,8 na 10 i tytułem “ipv4: free inet_opt and ireq_opt after an RCU grace period”. Według rekordu CVE błąd istnieje od jądra 4.4. Poprawione wersje głównego jądra to m.in. 5.15.223, 6.1.190, 6.12.113 i 7.2.10. Rekord zaktualizowano 3 listopada o 06:08 UTC. Ubuntu nadało luce priorytet wysoki, Red Hat ocenił ją jako krytyczną.

Błąd siedzi w obsłudze pakietów, które otwierają połączenie, więc najbardziej narażone są maszyny przyjmujące połączenia z sieci, czyli serwery z otwartymi portami. To nasz wniosek z opisu poprawki. Niewydany exploit, o którym pisze Canonical, przygotował Anthropic, a jego demonstrację opisaliśmy w tekście o exploitach napisanych przez Claude’a.

FAQ

Czy Ubuntu na laptopie też trzeba zaktualizować?

Tak, poprawka obejmuje każde Ubuntu 22.04 i nowsze, także desktopowe. Laptop, który nie przyjmuje połączeń z internetu, jest jednak mniej narażony niż serwer z otwartymi portami. Wystarczy zainstalować aktualizację jądra, gdy pojawi się w zwykłych aktualizacjach, i uruchomić komputer ponownie.

Jak sprawdzić, czy poprawka jest już w zwykłych aktualizacjach Ubuntu?

Po sudo apt update sprawdź, czy lista apt list --upgradable zawiera pakiety linux-image z numerem nie niższym niż w tabeli wyżej. Drugie źródło to strona CVE-2026-98432 w Ubuntu. Po wydaniu poprawki status przy twojej wersji zmieni się z “Vulnerable” na poprawiony.

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Podsumowanie

Krytyczna luka w jądrze Linuksa CVE-2026-98432 ma poprawki w Debianie od 16 i 17 października oraz w Red Hat Enterprise Linux od 1 listopada. Ubuntu 22.04, 24.04 i 26.04 mają poprawione jądra tylko w testowym repozytorium -proposed. Canonical nie podał daty wydania ich w zwykłych aktualizacjach. Wersje 16.04, 18.04 i 20.04 dostaną poprawkę tylko z Ubuntu Pro, darmowym do pięciu maszyn. Wyłączenie MPTCP nie usuwa luki, bo błąd nie jest specyficzny dla MPTCP i tkwi w obsłudze nawiązywania połączeń TCP po IPv4. Canonical nie zna innego exploita niż niewydany exploit Anthropic. Na dziś sprawdź uname -r na swoich serwerach, porównaj numer z tabelą i zaplanuj restart. Poprawkę z -proposed instaluj tylko po teście na kopii serwera. Dziesięć biuletynów jądra z 3 listopada tej poprawki nie zawiera. Stan na 3 listopada 2026 roku, godz. 15:55.