Lỗi nhân Linux CVE-2026-98432 đang được vá với tốc độ khác nhau giữa các bản phân phối. Nếu website của bạn chạy trên Linux, các câu hỏi hữu ích là ai chịu trách nhiệm cho nhân (kernel) trên máy chủ của bạn và bản sửa của nhà cung cấp đã thực sự chạy hay chưa. Dưới đây là những gì đã biết tính đến ngày 30 tháng 10 năm 2026 và những điều cần hỏi.

Các nguồn chính nói gì

Nghiên cứu của Anthropic ngày 27 tháng 10 mô tả một cuộc khai thác chiếm quyền root từ xa đã được chứng minh trên máy chủ Linux có dịch vụ đang lắng nghe kết nối multipath TCP (MPTCP), với bản sửa đã có trong mã nguồn gốc của nhân Linux (upstream) và các nhánh được duy trì. Đây là một minh họa nghiên cứu, không phải bằng chứng về tấn công thực tế, và phiên bản nhân đã thử nghiệm, cấu hình đầy đủ cùng mã khai thác không được công bố.

Red Hat mô tả một lỗi tranh chấp khi truy cập bộ nhớ đã được giải phóng (use-after-free) trong xử lý TCP IPv4, có thể gây sập hoặc hỏng bộ nhớ, và không có biện pháp giảm nhẹ nào được khuyến nghị chung. Trang theo dõi của Ubuntu, mở ngày 30 tháng 10, vẫn đánh dấu một số nhân là đang xử lý. Trang theo dõi của Debian liệt kê gói bảo mật đã sửa cho một số bản phát hành.

Điều này có nghĩa và không có nghĩa là gì

Không phải mọi website Linux đều có thể bị chiếm quyền. Minh họa được báo cáo dùng một dịch vụ đang lắng nghe kết nối MPTCP. Việc không có dịch vụ đó tự nó không chứng minh rằng lỗ hổng TCP IPv4 bên dưới không tồn tại trong nhân của bạn, nên trạng thái bản vá vẫn là câu hỏi quan trọng nhất. Các nguồn chính đã kiểm tra chưa xác nhận việc khai thác ngoài thực tế. Đó là nhận định về bằng chứng hiện có, không phải kết luận rằng hệ thống của bạn an toàn.

Xác định ai chịu trách nhiệm cho nhân

Đừng suy đoán từ tên gói dịch vụ. Một số dịch vụ hosting được quản lý, dịch vụ nền tảng và VPS được quản lý sẽ vá nhân thay bạn; với các VPS khác, máy chủ riêng hoặc môi trường container, phần việc giữa khách hàng và nhà cung cấp có thể được chia khác nhau. Hãy kiểm tra hợp đồng hosting hoặc tuyên bố trách nhiệm chia sẻ, xác nhận lại với nhà cung cấp, và ghi rõ bên chịu trách nhiệm. Sau đó ghi lại chính xác bản phân phối và phiên bản, tình trạng hỗ trợ, gói nhân và biến thể nhân đang dùng, cùng nhân đang thực sự chạy. Phiên bản CMS, PHP hay ảnh container không nói gì về nhân của máy chủ. Hãy hỏi xem có dịch vụ lắng nghe liên quan hoặc khả năng tiếp cận từ mạng hay không, và không bao giờ quét những hệ thống bạn không được phép kiểm thử.

Những câu cần chốt trước khi vá

  • Áp dụng khuyến cáo của bản phân phối nào, và sẽ dùng gói đã sửa hoặc lộ trình nâng cấp được hỗ trợ nào? Mã đã sửa trong mã nguồn gốc không chứng minh gói của nhà cung cấp đã tồn tại hay đã được cài, phiên bản gói khác với chuỗi nhân đang chạy, và các bản vá được chuyển ngược (backport) khiến việc so sánh số phiên bản thuần túy không đáng tin.
  • Sẽ có điểm sao lưu và khôi phục nào trước khi bảo trì? Bài quy tắc sao lưu của chúng tôi nói về kiểm thử khôi phục.
  • Việc kích hoạt có cần khung giờ bảo trì và khởi động lại, hay một phương thức vá không cần khởi động lại được hỗ trợ? Không cách nào là phổ quát. Hãy yêu cầu bằng chứng rằng nhân đang chạy đã bao gồm bản sửa áp dụng cho hệ thống.
  • Bạn sẽ xác nhận website sau đó như thế nào? Hãy đi qua các luồng công việc tiêu biểu với dữ liệu giả lập, không phát sinh giao dịch thật, rồi kiểm tra rằng giám sát vượt ngoài uptime vẫn đang báo cáo.

Nếu bản sửa vẫn đang chờ

Hãy lấy tên người chịu trách nhiệm, số ticket hỗ trợ và thời điểm kiểm tra lại có ghi ngày, cùng các phương án tạm thời được hỗ trợ mà nhà cung cấp đưa ra. Đừng thay đổi cấu hình mạng theo hướng dẫn chưa được nhà cung cấp xác nhận, và hãy nhớ tường lửa ứng dụng web không sửa được nhân của máy chủ.

Nếu có dấu hiệu bất thường

Hãy bảo toàn nhật ký và tìm đánh giá có chuyên môn trước khi thay đổi hệ thống. Việc đã vá không phải là bằng chứng rằng truy cập trước đó chưa từng xảy ra.

Bằng chứng đáng lưu giữ

Hãy yêu cầu bằng chứng có ghi ngày về gói đã cài và nhân đang chạy, kết quả kiểm tra website sau bảo trì, và danh sách những gì còn chưa giải quyết.

Nguồn

Kiểm tra tính đến ngày 30 tháng 10 năm 2026. Không có hoạt động quét hay khắc phục nào được thực hiện khi chuẩn bị bài viết này.