In Breve
- Qual è la vulnerabilità critica nel kernel Linux?
- La vulnerabilità CVE-2026-98432 espone i server self-hosted che utilizzano il protocollo Xray.
- Come può un server vulnerabile essere compromesso?
- Un server vulnerabile può essere compromesso in circa 53 minuti senza interazione dell'utente.
- Cosa devono fare gli amministratori di server self-hosted?
- Devono applicare urgentemente la patch seguendo la procedura indicata.
Una vulnerabilità critica del kernel Linux, identificata con il codice CVE-2026-98432, è emersa come una seria minaccia per i server self-hosted che ospitano servizi VPN. Questa falla, presente dal rilascio della versione 4.4 del kernel e con un punteggio di gravità pari a 9,8, mette particolarmente a rischio i server che utilizzano il protocollo Xray e la funzionalità MultiPath TCP (MPTCP).
La vulnerabilità si manifesta come una race condition nel codice responsabile dell’accettazione di nuove connessioni TCP IPv4. Un attacco riuscito può compromettere completamente un server vulnerabile in meno di un’ora, senza necessità di interazione da parte dell’utente e senza l’uso di password.
Fortunatamente, i server gestiti dai provider (versioni Premium, Free e Business) non risultano interessati, poiché l’infrastruttura è già stata aggiornata e verificata. Tuttavia, gli amministratori di server self-hosted devono agire con urgenza per mitigare i rischi associati a questa vulnerabilità.
Xray, il motore utilizzato da protocolli resistenti alla censura come VLESS, è particolarmente vulnerabile. Essendo sviluppato in Go, abilita MPTCP di default, il che può rendere la falla attiva in modo invisibile per gli amministratori.
Per gli utenti che gestiscono server tramite l’applicazione, è disponibile una procedura in tre passaggi per applicare la patch. Questa procedura richiede la versione 5.1.0.6 o successive dell’app:
- Rimuovere Xray dalla scheda Protocols del server.
- Dalla scheda Management, selezionare Update server packages e riavviare la macchina per caricare il kernel patchato.
- Reinstallare Xray dalla scheda Protocols, assicurandosi di utilizzare la versione corretta 26.10.31.
È importante notare che durante questa operazione il server resterà offline e le connessioni Xray esistenti saranno interrotte, richiedendo un successivo ripristino dell’accesso per gli utenti.
Inoltre, la funzione di aggiornamento dall’app non garantisce sempre che il kernel sia effettivamente patchato. Su alcune versioni di Ubuntu, la correzione è disponibile solo nel canale di testing -proposed, e un riavvio successivo potrebbe riportare la macchina in uno stato vulnerabile fino a una nuova reinstallazione di Xray.
Se non è possibile applicare immediatamente la patch al kernel, sono state suggerite alcune mitigazioni temporanee. Tra queste, l’implementazione di una regola firewall che blocchi le IP options o la rimozione di Xray con la migrazione al profilo UDP AmneziaWG.
Prima di questa segnalazione, erano già state rilasciate una revisione di Xray-core a settembre e un aggiornamento obbligatorio per gli utenti Premium e Free. Gli amministratori sono invitati a prendere immediatamente provvedimenti per garantire la sicurezza dei loro server.
