Кому грозит критическая ошибка CVE-2026-98432 в ядре Linux

Исследователь из Anthropic Синьян Гэ (Xinyang Ge) обнаружил в ядре Linux критическую уязвимость CVE-2026-98432. Она получила 9,8 балла из 10 возможных по шкале CVSS от разработчиков ядра Linux.

Она позволяет удаленно взломать сервер со слушающим TCP-портом без пароля. Под угрозой оказывается в том числе Xray — один из движков внутри нашего клиента, поскольку он по умолчанию включает MPTCP.

В этом тексте расскажем, кого затрагивает баг и как защититься.

Важно: если пользуетесь Amnezia Premium, Free и Business, то можете выдохнуть — вы в безопасности. Однако мы не гарантируем надежность других VPN-сервисов.

CVE-2026-98432 — уязвимость непосредственно в ядре Linux, а не в конкретном VPN-клиенте или протоколе. Ей подвержен любой сервер на Linux с открытым TCP-портом. Если пользуетесь Amnezia Self-hosted, этот текст, скорее всего, для вас

Что делать

Если у вас Premium, Free или Business

Как сказано выше: ничего. Мы уже обновили инфраструктуру, с которой работают пользователи этих тарифов, проверили ее и провели аудит серверов.

Ваши данные в безопасности

Если у вас Self-hosted

Проверьте, находитесь ли вы в зоне риска, и, если да, обновите сервер. В ближайшие дни выпустим обновленный клиент Amnezia VPN, который переустановит контейнер Xray с исправленной версией 26.10.31.

Чтобы защититься уже сейчас, обновите ядро через менеджер вашего дистрибутива, такие как apt, dnf или yum, до версии с исправлением и обязательно перезагрузите сервер.

Без перезагрузки сервера обновление не вступит в силу!

Ищите исправленную версию в трекере безопасности вашего дистрибутива:

Если собираете ядро из исходников, ориентируйтесь на upstream-ветки 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113 и новее.

Если нет возможности обновить ядро — запретите IP Options. Вставьте в терминал:

sudo iptables -t raw -I PREROUTING -p tcp -m u32 --u32 "0>>24&0xF=6:15" -j DROP

Только не забудьте обновить ядро, когда вендор выпустит патч. После этого раскатайте пропатченную версию Xray 26.10.31.

Если не можете обновить сервер, удалите контейнер Xray и используйте VPN-протокол поверх UDP, такой как AmneziaWG

Кого затрагивает CVE-2026-98432

Повторимся: проблема не в Xray как таковом. Мы выделяем его лишь потому, что он работает по TCP. Если ваш сервер не использует этот протокол, то поверхность атаки в вашем случае меньше.

Мы советуем обновить ядро — на сервере почти наверняка есть другие слушающие TCP-порты, тот же SSH

В зоне риска оказывается любой сервер на Linux — не только VPN-, но и веб-, почтовый, SSH- и прочие, — с открытым TCP-портом. Разделение по протоколам такое:

Серверы с Xray (VLESS и другие поверх TCP) — в зоне высокого риска, потому что движки на Go по умолчанию задействуют расширение MPTCP. Именно через него и эксплуатируется уязвимость.
Любой другой сервис на Linux со слушающим TCP-портом — также в зоне высокого риска, независимо от того, связан он с VPN или нет.
Серверы на WireGuard и AmneziaWG — работают поверх UDP, слушающего TCP-порта для обработки сетевого трафика у них нет, однако они подвержены уязвимости через другие TCP-порты, поэтому обновить прошивку необходимо и для них.

Что это вообще за уязвимость

CVE-2026-98432 — ошибка работы с памятью в той части ядра Linux, которая обрабатывает входящие соединения по IPv4 TCP. Она позволяет взломщикам запускать команды с root-привилегиями. Атака на сервер не требует физического доступа к серверу, пароля от него или действий со стороны пользователя.

Представители Anthropic утверждают, что в компании создали эксплойт для CVE-2026-98432. Они также уточняют, что воспроизвели атаку на серверах со слушающим сокетом MPTCP. Это, однако, не значит, что отключенное расширение само по себе защитит вас от взлома.

При чем тут Amnezia

Xray — один из движков, доступных в рамках Amnezia VPN. Серверы с ним оказались в зоне риска вместе со всеми остальными TCP-сервисами на Linux.

Если на тарифах Amnezia Premium, Free и Business мы контролируем инфраструктуру — оперативно обновляем ее и проводим аудит, — то в рамках Self-hosted безопасность сервера находится в ваших руках. Обновлять его вручную или через новую версию клиента вы должны самостоятельно.

Важно: патч не спасает, если злоумышленники уже получили доступ к серверу. Давно работающим серверам помимо обновления ядра понадобится еще и аудит

Если вы пользуетесь другим VPN

Поскольку уязвимость живет в ядре Linux, а не в конкретном сервисе, она касается серверов любого VPN-провайдера со слушающим TCP-портом.

Если представители сервиса публично подтвердили, что обновили ядро, перезагрузили серверы и провели аудит на следы взлома, то как минимум насчет CVE-2026-98432 можно расслабиться. В ином случае вы рискуете столкнуться с утечкой данных. Развеять сомнения поможет прямой вопрос службе поддержки.