In Breve
- Qual è la vulnerabilità del kernel Linux?
- La vulnerabilità CVE-2026-98432 mette a rischio i server self-hosted che utilizzano il protocollo Xray.
- Come può un attaccante sfruttare questa vulnerabilità?
- Un attaccante può compromettere un server vulnerabile in circa 53 minuti senza interazione dell'utente.
- Cosa devono fare gli amministratori di server self-hosted?
- Devono applicare una patch seguendo una procedura specifica per proteggere i loro server.
Una vulnerabilità critica del kernel Linux, identificata come CVE-2026-98432, rappresenta una seria minaccia per i server self-hosted che ospitano servizi VPN. Questa falla, presente dal rilascio della versione 4.4 e con un punteggio di gravità di 9,8, espone in particolare i server che utilizzano il protocollo Xray e la funzionalità MPTCP.
Il problema risiede in una race condition nel codice che gestisce le nuove connessioni TCP IPv4. Un attaccante potrebbe sfruttare questa vulnerabilità per compromettere completamente un server vulnerabile in circa 53 minuti, senza necessità di interazione da parte dell’utente o di password.
Fortunatamente, i server gestiti da provider, comprese le versioni Premium, Free e Business, non sono interessati poiché l’infrastruttura è già stata aggiornata e verificata. Tuttavia, gli amministratori di server self-hosted devono agire tempestivamente per mitigare i rischi.
Xray, il motore utilizzato da protocolli resistenti alla censura come VLESS, è particolarmente a rischio. Essendo sviluppato in Go, abilita MPTCP di default, il che può lasciare la vulnerabilità attiva in modo invisibile.
Per i server gestiti tramite l’app, è disponibile una procedura in tre passaggi per applicare la patch. Gli amministratori devono:
- Rimuovere Xray dalla scheda Protocols del server.
- Selezionare l’opzione Update server packages dalla scheda Management e riavviare la macchina, caricando così il kernel patchato.
- Reinstallare Xray dalla scheda Protocols, assicurandosi di utilizzare la versione corretta 26.10.31.
È importante notare che durante questo processo il server rimarrà offline e le connessioni Xray esistenti saranno interrotte, quindi sarà necessario ripristinare l’accesso per gli utenti.
Tuttavia, la funzione di aggiornamento dell’app non garantisce sempre che il kernel sia effettivamente patchato. Su alcune versioni di Ubuntu, la correzione è disponibile solo nel canale di testing “-proposed”, e un successivo riavvio potrebbe riportare la macchina in uno stato vulnerabile fino a una nuova reinstallazione di Xray.
Se non è possibile applicare immediatamente la patch al kernel, si consigliano alcune mitigazioni temporanee. Tra queste, l’implementazione di una regola firewall per bloccare le IP options o la rimozione di Xray, migrando al profilo UDP AmneziaWG. Prima della segnalazione di questa vulnerabilità, erano già stati rilasciati aggiornamenti per Xray-core e un aggiornamento obbligatorio per gli utenti Premium e Free.
