In Breve
- Qual è la vulnerabilità critica nel kernel Linux?
- La vulnerabilità CVE-2026-98432 espone i server self-hosted che utilizzano il protocollo Xray, con un punteggio di gravità di 9,8.
- Come possono gli amministratori proteggere i loro server?
- Devono seguire una procedura di aggiornamento in tre passaggi per applicare le patch necessarie.
- Quali sono le mitigazioni temporanee suggerite?
- Implementare una regola firewall che blocchi le IP options o migrare al profilo UDP AmneziaWG.
Vulnerabilità critica nel kernel Linux: allerta per i server self-hosted con Xray
Una vulnerabilità critica del kernel Linux, identificata come CVE-2026-98432, rappresenta una seria minaccia per i server self-hosted che ospitano servizi VPN. Questa falla, presente dal rilascio della versione 4.4, ha un punteggio di gravità di 9,8 su 10 e può compromettere completamente un server vulnerabile in circa 53 minuti, senza alcuna interazione da parte dell’utente e senza necessità di password.
Chi è a rischio?
I server che utilizzano il protocollo Xray e la funzionalità MPTCP sono particolarmente esposti. La vulnerabilità si manifesta attraverso una race condition nel codice che gestisce le nuove connessioni TCP IPv4. I server gestiti dai provider, inclusi quelli delle versioni Premium, Free e Business, non risultano interessati poiché l’infrastruttura è già stata aggiornata e verificata. Tuttavia, gli amministratori che gestiscono server in proprio devono agire tempestivamente.
Come proteggere i server vulnerabili
Per i server gestiti tramite l’app, è disponibile una procedura in tre passaggi che richiede la versione 5.1.0.6 o successive:
- Rimuovere Xray dalla scheda Protocols del singolo server;
- Dalla scheda Management, selezionare Update server packages e riavviare la macchina, caricando così il kernel patchato;
- Reinstallare Xray dalla scheda Protocols, assicurandosi di utilizzare la versione corretta 26.10.31.
Durante questa operazione, il server resterà offline e le connessioni Xray esistenti saranno interrotte, pertanto sarà necessario ripristinare l’accesso per gli utenti.
Limitazioni dell’aggiornamento
È importante notare che la funzione di aggiornamento dall’app non garantisce sempre che il kernel sia effettivamente patchato. Su alcune versioni di Ubuntu, la correzione è disponibile solo nel canale di testing -proposed. Un successivo riavvio potrebbe riportare la macchina in uno stato vulnerabile fino a una nuova reinstallazione di Xray.
Mitigazioni temporanee
Se non è possibile applicare subito la patch al kernel, sono state suggerite alcune mitigazioni temporanee. Tra queste, si raccomanda di implementare una regola firewall che blocchi le IP options o di rimuovere Xray migrando al profilo UDP AmneziaWG.
Aggiornamenti recenti
Prima di questa segnalazione, erano già state rilasciate una revisione di Xray-core a settembre e un aggiornamento obbligatorio per gli utenti Premium e Free. Gli amministratori sono invitati a controllare le loro configurazioni e a garantire che i loro server siano protetti contro questa vulnerabilità critica.
