In Breve
- Qual è la vulnerabilità segnalata nel kernel Linux?
- La vulnerabilità CVE-2026-98432 espone i server self-hosted che utilizzano il protocollo Xray.
- Chi è a rischio a causa di questa vulnerabilità?
- I server self-hosted che ospitano servizi VPN, in particolare quelli che utilizzano Xray e MPTCP.
- Cosa devono fare gli amministratori di server self-hosted?
- Devono applicare la patch seguendo le procedure indicate per proteggere i propri sistemi.
Una vulnerabilità critica nel kernel Linux, identificata come CVE-2026-98432, è stata segnalata e rappresenta una seria minaccia per i server self-hosted che ospitano servizi VPN. Questa falla, presente dal rilascio della versione 4.4 e con un punteggio di gravità pari a 9,8, espone in particolare i server che utilizzano il protocollo Xray e la funzionalità MPTCP.
La vulnerabilità è riconducibile a una race condition nel codice che gestisce le nuove connessioni TCP IPv4. Se sfruttata, consente a un attaccante di compromettere completamente un server vulnerabile in circa 53 minuti, senza la necessità di interazione da parte dell’utente e senza password.
I server gestiti da provider, comprese le versioni Premium, Free e Business, non risultano interessati poiché la loro infrastruttura è già stata aggiornata e verificata. Tuttavia, gli amministratori di server self-hosted devono agire tempestivamente per proteggere i propri sistemi.
Xray, il motore utilizzato da protocolli resistenti alla censura come VLESS, è particolarmente a rischio. Essendo sviluppato in Go, abilita MPTCP di default, il che può lasciare la vulnerabilità attiva in modo invisibile.
Per i server gestiti tramite l’app, è disponibile una procedura in tre passaggi per applicare la patch necessaria. È fondamentale avere la versione 5.1.0.6 o successive dell’app. La procedura prevede:
- Rimuovere Xray dalla scheda Protocols del server;
- Dalla scheda Management, selezionare Update server packages e riavviare la macchina (il riavvio carica il kernel patchato);
- Reinstallare Xray dalla scheda Protocols, che in questo modo utilizzerà la versione corretta 26.10.31.
Durante questa operazione, il server resterà offline e le connessioni Xray esistenti saranno interrotte, quindi sarà necessario ripristinare l’accesso agli utenti.
È importante notare che la funzione di aggiornamento dall’app non garantisce sempre che il kernel sia effettivamente patchato. Su alcune versioni di Ubuntu, la correzione è disponibile solo nel canale di testing “-proposed”, e un successivo riavvio potrebbe riportare la macchina in uno stato vulnerabile fino a una nuova reinstallazione di Xray.
Se non è possibile applicare subito la patch al kernel, tra le mitigazioni temporanee suggerite ci sono l’implementazione di una regola firewall per bloccare le IP options o la rimozione di Xray, migrando al profilo UDP AmneziaWG. Prima di questa segnalazione, erano già stati rilasciati aggiornamenti per Xray-core a settembre e un aggiornamento obbligatorio per gli utenti Premium e Free.
