اكتشف CVE-2026-98432 في نواة Linux قيد التشغيل وطبّق النواة المُصلحة الرسمية فقط على التوزيعات المُتحقَّق منها (Debian 12/13، Amazon Linux 2/2023). Ubuntu/RHEL للكشف فقط؛ يتم التعرف على Rocky/Alma/Oracle/Fedora/SUSE/Arch/Alpine دون إصلاح تلقائي.
الصينية المبسطة | English
تكتشف ما إذا كانت نواة Linux قيد التشغيل على الخادم متأثرة بـ CVE-2026-98432، وتثبّت حزمة النواة الرسمية المُصلحة على التوزيعات التي اكتمل تكييفها والتحقق منها. تغطي الأداة التعرف على التوزيعة، وربط النواة بحزمة البرمجيات، وتحديد حالة الثغرة، وتثبيت النواة والمراجعة بعد التثبيت، دون تعديل إعدادات الأعمال، ودون إعادة تشغيل الخادم تلقائيًا.
يغطي الإصلاح التلقائي فقط Debian 12/13 وAmazon Linux 2/2023. أما Ubuntu وRed Hat Enterprise Linux وCloudLinux فتُجرى عليها عملية الكشف فقط: فقد صدرت حزمة الإصلاح الرسمية لـ CloudLinux، لكنها تتعلق بالطرح التدريجي وأهلية الاشتراك، لذا تقدم الأداة فقط الإصدار والقناة الدقيقين. أما بقية التوزيعات فيُجرى عليها التعرف وإخراج المعلومات فقط، دون الدخول في عملية التثبيت. راجع مصفوفة دعم التوزيعات للحالة التفصيلية.
الإصدار الحالي v1.3.0، وسجل التغييرات في CHANGELOG.md.
| البند | المحتوى |
|---|---|
| الرقم | CVE-2026-98432 |
| المكوّن | النظام الفرعي IPv4 في نواة Linux (tcp_v4_syn_recv_sock، tcp_v4_reqsk_destructor) |
| النوع | استخدام بعد التحرير (use-after-free) |
| شرط التفعيل | عند المعالجة المتزامنة لإعادة إرسال TCP SYN، أو عند ترحيل مأخذ الطلب مع تفعيل tcp_migrate_req، قد يتم تحرير inet_opt وireq_opt قبل انتهاء فترة سماح RCU |
| التأثير | تلف في ذاكرة النواة، قد يؤدي إلى حجب الخدمة. النطاق الدقيق للتأثير وشروط الاستغلال وفقًا لإعلانات كل توزيعة |
| الإصلاح في المنبع | ipv4: free inet_opt and ireq_opt after an RCU grace period، وقد دخل الإصلاح في 7.2.10 و6.18.56 و6.12.113 و6.1.190 (commit 26d4c36d318c) |
| تاريخ الإفصاح | 2026-10-15 |
يُرجى الرجوع إلى الإعلان الرسمي لكل توزيعة لتحديد ما إذا كانت متأثرة وما هو إصدار الإصلاح. لا تستنتج هذه الأداة بناءً على نتائج توزيعات أخرى، ولا تستنتج حالة إصلاح التوزيعة من رقم إصدار المنبع، ولا تقيّم درجة CVSS أو التعقيد الفعلي للهجوم.
ID وVERSION_ID وVERSION_CODENAME من /etc/os-release، مع إضافة معلومات خاصة بالتوزيعة (مثل علامة UEK في Oracle، ورقم الإصدار في Amazon Linux). لا يُستخدم ID_LIKE لدمج الهويات، فلا تُعامل Ubuntu كـ Debian، ولا تُعامل Rocky Linux وAlmaLinux وOracle Linux كـ RHEL.uname -m (x86_64 تُسجَّل كـ amd64 وaarch64 كـ arm64)، ثم التحقق المتقاطع مع المعمارية التي يبلّغ عنها مدير الحزم؛ وعند عدم التطابق تُحدَّد الحالة كـ UNKNOWN.--report نتيجة الكشف والأساس الذي بُنيت عليه، ويُخرج --list-distros مصفوفة الدعم.kernel-lts)؛ ويدعم التعرف Rocky Linux وAlmaLinux وOracle Linux وFedora وopenSUSE Leap وSUSE Linux Enterprise وArch Linux وAlpine Linux. وعندما لا يكون إصدار التوزيعة ضمن نطاق التكييف تُعاد الحالة UNSUPPORTED.--list-distros يمكن تنفيذها كمستخدم عادي.awk، وsed، وgrep، وtar، وfind؛ وأدوات مدير الحزم المقابلة للتوزيعة (dpkg/apt-get/apt-cache، rpm/dnf/yum، apk، pacman، zypper)؛ ويحتاج مثبّت الإقلاع الإضافي إلى curl وsha256sum (أو shasum).curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash
install.sh هو مثبّت التمهيد، وهو بذاته لا يعدّل النظام: يقوم بتنزيل أرشيف الشيفرة المصدرية للوسم (Tag) المقابل إلى دليل مؤقت، وبعد فك الضغط يقرأ SHA256SUMS من Release، ويتحقق واحدًا واحدًا من fix.sh وinstall.sh وlib/*.sh وadapters/*.sh وdata/*.yml، ولا ينفّذ fix.sh بنفس المعاملات إلا بعد نجاح جميع عمليات التحقق. بعد اكتمال الفحص يُعرض خطة الإصلاح، ولا يتم تثبيت النواة إلا بعد إدخال Y للتأكيد. يُقرأ طلب التأكيد من /dev/tty، لذا يعمل التفاعل بشكل طبيعي حتى عند التنفيذ عبر الأنابيب؛ وقد يطلب sudo إدخال كلمة المرور.
تُعالَج عملية التحقق وفق مبدأ fail closed: غياب SHA256SUMS أو كونه فارغًا، أو عدم تغطية القائمة لجميع السكربتات، أو عدم تطابق تجزئة أي ملف، أو احتواء الأرشيف على مسارات مطلقة أو ..، أو افتقار النظام إلى sha256sum وshasum، كل ذلك يؤدي إلى الإنهاء بعد فك الضغط أو قبل التنفيذ، دون تشغيل أي شيفرة من الأدوات. تأتي SHA256SUMS وحزمة الشيفرة المصدرية من المستودع نفسه، ولا تمتلك توقيعًا رقميًا مستقلًا، ولا يمكن اعتبارها معادلة للتحقق بالتوقيع. يُنصح قبل الاستخدام في بيئة الإنتاج بتنزيل السكربت ومراجعته بنفسك أولًا.
curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash -s -- --check
يقرأ حالة النظام فقط، ولا يحدّث فهرس الحزم، ولا يثبّت حزمًا، ولا يعدّل الإعدادات. يقيّد --check مرحلتي الفحص والإصلاح، ولا يؤثر على سلوك التنزيل الخاص بـ install.sh نفسه. عندما يكون فهرس الحزم المحلي فارغًا، ستظهر النسخة المرشحة على أنها غير معروفة، وسيلزم تنفيذ apt-get update أو dnf makecache يدويًا أولًا.
curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash -s -- --yes
--yes يتخطى مطالبات التأكيد فقط، ولا يتخطى القائمة البيضاء للتوزيعات، ولا التحقق من الإعلانات، ولا التحقق من الإصدار. التوزيعات غير المدرجة في القائمة البيضاء لن تدخل عملية التثبيت حتى لو تم تحديد --yes.
curl -fsSLO https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh
less install.sh
sudo bash install.sh --check
sudo bash install.sh
يعتمد fix.sh على lib/ وadapters/ وdata/ الموجودة في الدليل نفسه، ولا يمكن تنزيله واستخدامه بشكل منفصل:
git clone --branch v1.3.0 --depth 1 https://github.com/AronWang001/linux-cve-2026-98432-fix.git
cd linux-cve-2026-98432-fix
sudo bash fix.sh --check
sudo bash fix.sh
يغطي SHA256SUMS جميع السكربتات وملفات البيانات في fix.sh وinstall.sh وlib/ وadapters/ وdata/، ويجب التحقق منها مع أرشيف الشيفرة المصدرية:
mkdir -p /tmp/cve-verify && cd /tmp/cve-verify
base=https://github.com/AronWang001/linux-cve-2026-98432-fix/releases/download/v1.3.0
curl -fsSLO "${base}/SHA256SUMS"
curl -fsSL -o src.tar.gz https://github.com/AronWang001/linux-cve-2026-98432-fix/archive/refs/tags/v1.3.0.tar.gz
tar -xzf src.tar.gz
cd linux-cve-2026-98432-fix-1.3.0
sha256sum -c ../SHA256SUMS
يجب أن تُخرج كل سجل OK. يتغير اسم دليل الأرشيف تبعًا لاسم المستودع، وعندما يختلف الدليل بعد فك الضغط يُعتمد الدليل الفعلي. عند عدم توفر sha256sum في النظام يمكن استخدام shasum -a 256 -c ../SHA256SUMS.