Pe 2 noiembrie 2026, CloudLinux a actualizat informațiile despre CVE-2026-98432, o vulnerabilitate gravă din kernelul Linux, care afectează inclusiv CloudLinux 8 și 9. Noutatea importantă este disponibilitatea patch-urilor KernelCare pe canalul de testare, alături de kerneluri corectate aflate în etape diferite de distribuire. Pentru administratorii de găzduire web, VPS și servere dedicate, verificarea trebuie făcută la nivelul kernelului efectiv utilizat, nu doar al versiunii CloudLinux afișate în panou. Îți explicăm exact ce este confirmat și cum verifici serverul în siguranță.
1. Ce este CVE-2026-98432 și cât de gravă este?
Vulnerabilitatea este de tip use-after-free în codul IPv4 TCP al kernelului Linux, asociată procesării conexiunilor noi și unei condiții de concurență. În anumite situații, un atacator de la distanță, fără cont pe server, ar putea provoca probleme de memorie și, potrivit cercetării publicate, executarea de cod cu privilegii ridicate. Red Hat a clasificat problema drept Critical, CVSS 9.8.
CloudLinux precizează însă că lanțul de exploatare demonstrat necesită condiții speciale, inclusiv un listener Multipath TCP (MPTCP), dezactivat implicit în configurațiile uzuale CloudLinux 8 și 9. Echipa furnizorului nu a reușit reproducerea atacului în testele sale; la ultima informare nu exista un exploit public și nu fuseseră raportate atacuri confirmate. Aceasta nu înseamnă că sistemele vulnerabile pot rămâne neactualizate.
2. Ce versiuni corectate există pentru CloudLinux 8 și 9?
La verificarea din 2 noiembrie 2026, situația comunicată oficial este următoarea:
| Sistem | Kernel corectat | Disponibilitate |
|---|---|---|
| CloudLinux 8 | 4.18.0-553.180.1.lve.1 | Distribuire etapizată în producție; există depozit de acces anticipat |
| CloudLinux 9 | 5.14.0-687.61.2.el9_8 | Depozitul de testare AlmaLinux; nu este încă anunțat în depozitele normale CloudLinux |
| CloudLinux 8 LTS | 5.14.0-284.1101.el8.tuxcare.11.els19 | Distribuire etapizată, kernel LTS distinct |
| CloudLinux 9 LTS | 5.14.0-284.1101.el9.tuxcare.11.els19 | Distribuire etapizată, kernel LTS distinct |
Pe canalul de testare KernelCare sunt disponibile familiile de patch-uri K20261031_0027–K20261031_0033 pentru EL8 și K20261031_0034–K20261031_0039 pentru EL9. Nu confunda disponibilitatea în testare cu lansarea pe canalul stabil. Pentru kernelurile clasice, instalarea nu este suficientă: serverul trebuie repornit pentru a rula efectiv versiunea nouă.
3. Tutorial: cum verifici kernelul unui server CloudLinux
Conectează-te prin SSH cu un utilizator autorizat. Înainte de modificări, fă o copie de siguranță verificată și asigură-te că ai acces la consola de recuperare a serverului. Rulează:
cat /etc/os-release
uname -r
rpm -q kernel-core
sudo dnf check-update 'kernel*'
/etc/os-release identifică distribuția; uname -r afișează kernelul pornit în prezent, iar rpm enumeră pachetul instalat. Comanda dnf check-update arată actualizări disponibile în depozitele deja configurate; absența unei actualizări nu dovedește că vulnerabilitatea este remediată.
Pentru CloudLinux 8, compară începutul rezultatului uname -r cu 4.18.0-553.180.1.lve.1. Pentru CloudLinux 9, urmărește 5.14.0-687.61.2.el9_8 sau o versiune ulterioară care include explicit remedierea. Nu compara doar numerele 4.18 și 5.14: furnizorii integrează corecții de securitate fără a modifica neapărat versiunea principală a kernelului.
4. Cum verifici dacă KernelCare a aplicat patch-ul?
Dacă serverul folosește KernelCare, inclusiv printr-o integrare cu Imunify360, verifică mai întâi existența utilitarului și lista remedierilor aplicate:
command -v kcarectl
sudo kcarectl --patch-info | grep -F 'CVE-2026-98432'
Dacă identificatorul apare în rezultatul pentru canalul utilizat efectiv de server, patch-ul a fost raportat ca aplicat. Dacă nu apare, nu presupune că livepatch-ul este activ. Totuși, lipsa rezultatului nu dovedește vulnerabilitatea unui server care a pornit deja un kernel clasic corectat.
CloudLinux a publicat și comenzile pentru canalul de testare:
sudo kcarectl --update --prefix=test
sudo kcarectl --patch-info --prefix=test | grep -F 'CVE-2026-98432'
Atenție: prima comandă instalează patch-uri dintr-un canal de testare. Nu o executa direct pe serverele de producție fără validare, backup și acceptarea riscurilor. Pentru producție, urmărește lansarea stabilă pe pagina oficială de status CloudLinux. Mesajul No updates are needed for this kernel nu garantează singur că acest CVE este acoperit.
5. Cum instalezi kernelul corectat pe CloudLinux 8 sau 9?
Pentru CloudLinux 8, kernelul corectat este în distribuire etapizată. După verificarea ferestrei de mentenanță, poți instala actualizările disponibile în mod normal:
sudo dnf update cloudlinux-release
sudo dnf update 'kernel*'
sudo reboot
Dacă versiunea corectată nu este încă oferită serverului, CloudLinux documentează posibilitatea de acces anticipat la depozitul de distribuire:
sudo yum update cloudlinux-release
sudo yum update 'kernel*' --enablerepo=cloudlinux-rollout-3-bypass
sudo reboot
Folosește această variantă numai după ce verifici procedura oficială și compatibilitatea serverului. După repornire, confirmă cu uname -r că rulează kernelul nou.
Pentru CloudLinux 9, versiunea 5.14.0-687.61.2.el9_8 era disponibilă în depozitul AlmaLinux testing, nu în canalul obișnuit de producție CloudLinux. Nu activa un depozit de testare pe un server de hosting cu clienți fără evaluarea compatibilității; acest lucru poate introduce modificări suplimentare ale pachetelor. Procedura de instalare anticipată este publicată în ghidul oficial CloudLinux. Pentru medii de producție, urmărește publicarea remedierii în depozitul stabil sau a livepatch-ului KernelCare stabil.
6. Ce măsuri de protecție sunt recomandate până la patch?
Poți verifica dacă MPTCP este activ prin:
sysctl net.mptcp.enabled
Valoarea 0 reduce expunerea la lanțul de exploatare cunoscut, însă nu reprezintă o remediere completă: vulnerabilitatea se află și în codul TCP obișnuit. Păstrează serviciile și firewallul actualizate, restricționează accesul administrativ, monitorizează jurnalele și pregătește o fereastră de mentenanță. Nu dezactiva arbitrar componente de rețea sau protecții Imunify360.
Pentru proiecte care necesită acces administrativ și actualizări proprii, consultă serverele VPS Hosteaza. Pentru infrastructură de hosting cu cerințe mai mari de resurse și control hardware, sunt disponibile și serverele dedicate Hosteaza. Indiferent de infrastructură, aplicarea patch-urilor, verificarea kernelului activ și testarea copiilor de siguranță rămân esențiale.
Surse pentru actualizări: CloudLinux Status, analiza CloudLinux și avertizarea Red Hat. Verifică aceste pagini înainte de publicarea unor noi instrucțiuni sau versiuni de patch.
