In Breve
- Qual è la vulnerabilità critica nel kernel Linux?
- La vulnerabilità CVE-2026-98432 mette a rischio i server self-hosted che utilizzano il protocollo Xray.
- Come può un server essere compromesso?
- Un server vulnerabile può essere compromesso in circa 53 minuti senza interazione dell'utente.
- Cosa devono fare gli amministratori di server self-hosted?
- Devono applicare la patch e seguire le procedure di aggiornamento per proteggere i loro server.
Una vulnerabilità critica del kernel Linux, identificata come CVE-2026-98432, è stata recentemente scoperta e rappresenta un serio rischio per i server self-hosted che ospitano servizi VPN. Questa falla, presente sin dalla versione 4.4 del kernel e con un punteggio di gravità di 9,8, espone in particolare i server che utilizzano il protocollo Xray e la funzionalità MPTCP.
La vulnerabilità si manifesta come una race condition nel codice che gestisce nuove connessioni TCP IPv4. Un attaccante potrebbe sfruttare questa falla per compromettere completamente un server vulnerabile in circa 53 minuti, senza necessità di interazione da parte dell’utente e senza l’uso di password.
I server gestiti da provider, tra cui le versioni Premium, Free e Business, non sono interessati poiché l’infrastruttura è già stata aggiornata e verificata. Tuttavia, gli amministratori di server self-hosted devono intervenire tempestivamente per mitigare i rischi associati a questa vulnerabilità.
Xray, il motore utilizzato da protocolli resistenti alla censura come VLESS, è considerato particolarmente a rischio. Essendo sviluppato in Go, abilita MPTCP di default, il che può mantenere attiva la vulnerabilità in modo invisibile.
Per gli amministratori che gestiscono server tramite l’app, è disponibile una procedura in tre passaggi per applicare la patch. Questa richiede la versione 5.1.0.6 o successive dell’app:
- Rimuovere Xray dalla scheda Protocols del server;
- Selezionare “Update server packages” dalla scheda Management e riavviare la macchina, caricando così il kernel patchato;
- Reinstallare Xray dalla scheda Protocols, assicurandosi di utilizzare la versione corretta 26.10.31.
È importante notare che durante questa operazione il server rimarrà offline e le connessioni Xray esistenti verranno interrotte, richiedendo un ripristino dell’accesso per gli utenti.
Inoltre, la funzione di aggiornamento tramite l’app non garantisce sempre che il kernel sia effettivamente patchato. In alcune versioni di Ubuntu, la correzione è disponibile solo nel canale di testing “-proposed”, e un riavvio successivo potrebbe riportare la macchina in uno stato vulnerabile fino a una nuova reinstallazione di Xray.
Se non è possibile applicare immediatamente la patch al kernel, sono state suggerite alcune mitigazioni temporanee. Queste includono l’implementazione di una regola firewall che blocchi le IP options o la rimozione di Xray, migrando al profilo UDP AmneziaWG. Prima di questa segnalazione, erano già stati rilasciati aggiornamenti per Xray-core a settembre e un aggiornamento obbligatorio per gli utenti Premium e Free.