Detecta a CVE-2026-98432 no kernel Linux em execução e aplica o kernel corrigido oficial apenas em distribuições verificadas (Debian 12/13, Amazon Linux 2/2023). Ubuntu/RHEL apenas detecção; Rocky/Alma/Oracle/Fedora/SUSE/Arch/Alpine identificados, mas sem correção automática.
简体中文 | English
Detecta se o kernel atualmente em execução em um servidor Linux é afetado pelo CVE-2026-98432 e, em distribuições já adaptadas e verificadas, instala o pacote de kernel oficial com a correção. A ferramenta cobre identificação da distribuição, mapeamento do kernel para o pacote de software, determinação do estado da vulnerabilidade, instalação do kernel e verificação pós-instalação, sem modificar configurações de negócio e sem reiniciar o servidor automaticamente.
A correção automática cobre apenas Debian 12/13 e Amazon Linux 2/2023. Ubuntu, Red Hat Enterprise Linux e CloudLinux fazem apenas detecção: o pacote oficial de correção do CloudLinux já foi publicado, mas envolve distribuição gradual e elegibilidade de assinatura, portanto a ferramenta apenas informa a versão exata e o canal. As demais distribuições fazem apenas identificação e saída de informações, sem entrar no fluxo de instalação. Consulte a matriz de suporte a distribuições para o status específico.
Versão atual v1.3.0; o registro de alterações está em CHANGELOG.md.
| Item | Conteúdo |
|---|---|
| Identificador | CVE-2026-98432 |
| Componente | Subsistema IPv4 do kernel Linux (tcp_v4_syn_recv_sock, tcp_v4_reqsk_destructor) |
| Tipo | use-after-free (uso após liberação) |
| Condição de disparo | Ao processar concorrentemente SYN retransmitidos, ou ao migrar sockets de requisição com tcp_migrate_req habilitado, inet_opt e ireq_opt podem ser liberados antes do fim do período de carência do RCU |
| Impacto | Corrupção de memória do kernel, podendo causar negação de serviço. O escopo específico de impacto e as condições de exploração estão sujeitos aos avisos de cada distribuição |
| Correção upstream | ipv4: free inet_opt and ireq_opt after an RCU grace period, correção incluída em 7.2.10, 6.18.56, 6.12.113, 6.1.190 (commit 26d4c36d318c) |
| Data de divulgação | 2026-10-15 |
Se cada distribuição é afetada e qual é a versão corrigida estão sujeitos ao aviso oficial da respectiva distribuição. Esta ferramenta não deriva conclusões a partir de outras distribuições, nem infere o estado de correção de uma distribuição a partir do número de versão upstream, e não avalia pontuações CVSS nem a complexidade real de ataque.
ID, VERSION_ID e VERSION_CODENAME de /etc/os-release e sobrepõe informações específicas da distribuição (como a marca UEK do Oracle e o número de versão do Amazon Linux). Não usa ID_LIKE para agrupar identidades; Ubuntu não é tratado como Debian, e Rocky Linux, AlmaLinux e Oracle Linux não são tratados como RHEL.uname -m (x86_64 como amd64, aarch64 como arm64) e faz verificação cruzada com a arquitetura reportada pelo gerenciador de pacotes; em caso de divergência, o resultado é UNKNOWN.--report gera a conclusão da detecção e sua fundamentação; --list-distros exibe a matriz de suporte.kernel-lts); a identificação suporta Rocky Linux, AlmaLinux, Oracle Linux, Fedora, openSUSE Leap, SUSE Linux Enterprise, Arch Linux e Alpine Linux. Se a versão da distribuição não estiver no escopo de adaptação, retorna UNSUPPORTED.--list-distros pode ser executado por usuário comum.awk, sed, grep, tar, find; ferramentas de gerenciamento de pacotes correspondentes à distribuição (dpkg/apt-get/apt-cache, rpm/dnf/yum, apk, pacman, zypper); o instalador de bootstrap requer adicionalmente curl e sha256sum (ou shasum).curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash
install.sh é o instalador de bootstrap e não modifica o sistema por si só: ele baixa o arquivo de código-fonte da Tag correspondente para um diretório temporário, descompacta e lê o SHA256SUMS a partir do Release, verificando um a um fix.sh, install.sh, lib/*.sh, adapters/*.sh e data/*.yml; somente após todas as verificações passarem é que executa fix.sh com os mesmos parâmetros. Após a detecção, exibe o plano de correção e só instala o kernel após o usuário digitar Y para confirmar. O prompt de confirmação é lido de /dev/tty, permitindo interação normal mesmo quando executado via pipe; o sudo pode solicitar senha.
A verificação segue a política fail closed: SHA256SUMS ausente ou vazio, manifesto que não cobre todos os scripts, hash de qualquer arquivo inconsistente, arquivo contendo caminhos absolutos ou .., ou sistema sem sha256sum e shasum — qualquer um desses casos encerra a execução após a descompactação ou antes da execução, sem rodar nenhum código da ferramenta. O SHA256SUMS e o pacote de código-fonte vêm do mesmo repositório e não possuem assinatura digital independente, não equivalendo a uma verificação por assinatura. Antes de usar em ambiente de produção, ainda é recomendável baixar o script e revisá-lo por conta própria.
curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash -s -- --check
Apenas lê o estado do sistema, não atualiza o índice de pacotes, não instala pacotes e não modifica configurações. A opção --check restringe as fases de detecção e correção, sem afetar o comportamento de download do próprio install.sh. Quando o índice local de pacotes está vazio, a versão candidata é exibida como desconhecida, sendo necessário executar previamente apt-get update ou dnf makecache.
curl -fsSL https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh | sudo bash -s -- --yes
--yes apenas ignora os prompts de confirmação, não ignora a lista de permissões de distribuições, a verificação de avisos e a validação de versão. Distribuições fora da lista de permissões não entrarão no processo de instalação mesmo que --yes seja especificado.
curl -fsSLO https://raw.githubusercontent.com/AronWang001/linux-cve-2026-98432-fix/v1.3.0/install.sh
less install.sh
sudo bash install.sh --check
sudo bash install.sh