مجموعة أدوات كشف CVE-2026-98432

أدوات للكشف عن التعرض لـ CVE-2026-98432 — ثغرة use-after-free في IPv4 TCP في نواة Linux (CVSS 9.8) تؤثر على النوى من 4.4 حتى فروع stable السابقة للإصلاح.

الأدوات

الملف	الغرض	المتطلبات
check-cve-2026-98432.sh	فحص محلي لإصدار النواة — يؤكد ما إذا كانت مُرقّعة/مُعرّضة	صلاحية الوصول إلى Shell (SSH/console)
probe-mptcp.py	فحص عن بُعد لقدرات MPTCP — يكشف متجه الاستغلال المُثبت	Python 3.9+، نواة Linux ≥ 5.6 على المضيف الفاحص
scan-and-probe.sh	يربط اكتشاف المنافذ عبر nmap بفحص MPTCP	nmap + ما سبق

البدء السريع

الفحص المحلي (يُنفَّذ على كل خادم)

chmod +x check-cve-2026-98432.sh
./check-cve-2026-98432.sh

رموز الخروج: 0 مُرقّع، 1 مُعرّض، 2 يحتاج إلى إعادة تشغيل أو فحص يدوي.

فحص MPTCP عن بُعد (يُنفَّذ من أي جهاز Linux بنواة ≥ 5.6)

مضيف واحد، منافذ معروفة:

python3 probe-mptcp.py <HOST> <PORT> [PORT ...]
python3 probe-mptcp.py 192.168.1.1 22 443 5060

مضيف واحد، اكتشاف تلقائي لجميع منافذ TCP المفتوحة باستخدام nmap:

python3 probe-mptcp.py <HOST> $(nmap -Pn --open -p- <HOST> -oG - | grep -oP '\d+/open/tcp' | cut -d/ -f1 | tr '\n' ' ')

استبدل كلا موضعي <HOST> بعنوان IP الهدف.

مضيفون متعددون:

chmod +x scan-and-probe.sh
./scan-and-probe.sh <HOST1> <HOST2> <HOST3>

ما تفحصه الأدوات

check-cve-2026-98432.sh

1. يستعلم سجل تغييرات المورّد الخاص بالثغرة (مرجعي على Debian/Ubuntu/RHEL).
2. يتراجع إلى مقارنة uname -r مع أول إصدار مُصلَح لكل فرع stable.
3. يُشير إلى عمليات إعادة التشغيل المعلّقة (نواة مُرقّعة مثبّتة لكن لم تُقلع).
4. يُبلّغ عن حالة MPTCP (net.mptcp.enabled ومستمعي MPTCP النشطين).

probe-mptcp.py

يفتح اتصال TCP قياسيًا يطلب MPTCP ويتحقق مما إذا كان الخادم قد تفاوض على MPTCP أم تراجع إلى TCP عادي.

• PLAIN-TCP — لم يتفاوض الخادم على MPTCP؛ متجه استغلال root المُثبت غير موجود.
• MPTCP-ACTIVE — تفاوض الخادم على MPTCP؛ متجه التعرض موجود.
• CLOSED — المنفذ مُرشّح أو مرفوض.

آمن: لا خيارات IP، لا إعادة إرسال/تسابق، لا محفّز للاستغلال. إنه مصافحة TCP عادية مع علم قدرة MPTCP.

قيد: PLAIN-TCP لا يعني مُرقّعًا. إنه يعني أن المتجه المُثبت مغلق. حالة التسابق الأساسية موجودة في IPv4 TCP العادي — فقط إصدار النواة يؤكد الإصلاح.

إصدارات النواة المُصلَحة

الفرع	أول إصدار مُصلَح
5.10.x	5.10.272
5.15.x	5.15.223
6.1.x	6.1.190
6.6.x	6.6.159
6.12.x	6.12.113
6.18.x	6.18.56
7.2.x	7.2.10
7.3+	مُصلَح عند الإصدار

تخفيف فوري (إذا لم يكن الترقيع ممكنًا بعد)

sysctl -w net.mptcp.enabled=0
echo 'net.mptcp.enabled=0' > /etc/sysctl.d/90-disable-mptcp.conf
sysctl --system

يعطّل هذا MPTCP على مستوى النواة، مما يُغلق مسار استغلال root المُثبت. لا حاجة لإعادة التشغيل؛ يستمر عبر عمليات إعادة التشغيل. معظم الخدمات لا تستخدم MPTCP أبدًا، لذا فإن التأثير الوظيفي معدوم.

المراجع

• The Hacker News — Linux Kernel TCP Flaw With 9.8 CVSS
• Debian tracker — CVE-2026-98432
• Kernel fix commit
• Anthropic research post

الترخيص

MIT