Kerentanan kernel Linux CVE-2026-98432: pemblokiran sementara dan penerapan patch kernel

CVE-2026-98432 adalah kerentanan kernel Linux ketika kode kernel yang menerima koneksi TCP IPv4 membaca lagi memori yang sudah dibebaskan, dan tim CVE kernel Linux menilainya Critical. Karena celah ini bisa diserang dari jarak jauh tanpa autentikasi, kami memperbarui server Lightsail AlmaLinux 9.8 dengan Nginx dan Apache ke paket kernel yang sudah diperbaiki, me-reboot-nya, lalu memastikan patch dari versi kernel yang sedang berjalan.

1️⃣ Kerentanan kernel Linux CVE-2026-98432: cara kerja celah dan cakupan dampaknya

Saat permintaan koneksi TCP (SYN) datang dengan opsi IPv4, kernel menyimpan salinan opsi itu bersama koneksi yang menunggu agar bisa mengirimkannya kembali dalam balasan (SYN-ACK). Setelah koneksi terbentuk, salinan ini langsung diserahkan ke soket koneksi baru tanpa diduplikasi.

Jika sementara itu klien mengirim SYN lagi, CPU lain mungkin sedang membuat SYN-ACK dengan opsi yang sama. Jika saat itu koneksi baru ditutup dan kernel langsung membebaskan memori opsi, kode yang sedang membuat SYN-ACK membaca memori yang sudah dibebaskan, yaitu use-after-free.

Kode ini berjalan pada tahap ketika kernel memproses permintaan koneksi, sebelum aplikasi melihat koneksinya. Karena itu, apa pun layanan yang membuka port tersebut, selama port itu mendengarkan lewat TCP IPv4, serangan bisa mencapainya dari jarak jauh tanpa kredensial, dan skornya 9.8 menurut CVSS 3.1.

Celah ini sudah ada sejak Linux 4.4, sehingga sebagian besar server Linux terdampak. Di antara blueprint Lightsail, panduan AWS menyebut AlmaLinux 9, CentOS Stream 9, Debian, openSUSE Leap, Ubuntu, Amazon Linux 2, dan Amazon Linux 2023. Pengumuman AlmaLinux menyebut 8, 9, dan 10 sebagai versi yang terdampak, dan blueprint aplikasi Lightsail seperti WordPress dan LAMP juga berjalan di atas Debian atau Ubuntu sehingga ikut terdampak.

FreeBSD dan Windows Server, yang tidak memakai kernel Linux, tidak terdampak.

Server yang mematikan MPTCP (Multipath TCP) pun tetap perlu patch. Serangan yang dipublikasikan menyasar server dengan listener MPTCP yang terbuka, tetapi celahnya sendiri ada di kode TCP IPv4 biasa, sehingga pengumuman AlmaLinux juga menyatakan sistem tanpa MPTCP tetap harus diperbaiki.

Kernel yang sudah diperbaiki baru membebaskan memori opsi setelah masa tenggang RCU (grace period) lewat, sehingga memori tetap ada selama CPU lain membaca opsi untuk membuat SYN-ACK.

2️⃣ Cek versi kernel Linux: apakah kernel sudah diperbaiki?

Perlu tidaknya patch ditentukan oleh versi kernel yang sedang berjalan, jadi sebelum memperbarui kami memeriksa distribusi dan versi kernel lebih dulu.

cat /etc/os-release

NAME="AlmaLinux"
VERSION="9.8 (Olive Jaguar)"
ID="almalinux"
ID_LIKE="rhel centos fedora"
VERSION_ID="9.8"
PLATFORM_ID="platform:el9"
PRETTY_NAME="AlmaLinux 9.8 (Olive Jaguar)"
ANSI_COLOR="0;34"
LOGO="fedora-logo-icon"
CPE_NAME="cpe:/o:almalinux:almalinux:9::baseos"
HOME_URL="https://almalinux.org/"
DOCUMENTATION_URL="https://wiki.almalinux.org/"
BUG_REPORT_URL="https://bugs.almalinux.org/"

ALMALINUX_MANTISBT_PROJECT="AlmaLinux-9"
ALMALINUX_MANTISBT_PROJECT_VERSION="9.8"
REDHAT_SUPPORT_PRODUCT="AlmaLinux"
REDHAT_SUPPORT_PRODUCT_VERSION="9.8"
SUPPORT_END=2032-06-01

uname -r

5.14.0-687.55.1.el9_8.x86_64

nft --version

-bash: nft: command not found

Distribusinya AlmaLinux 9.8 dan kernel yang berjalan 5.14.0-687.55.1.el9_8. Perintah nft yang dipakai aturan pemblokiran sementara juga tidak ada, artinya paket nftables belum terpasang.

rpm -q kernel

kernel-5.14.0-611.30.1.el9_7.x86_64
kernel-5.14.0-687.49.1.el9_8.x86_64
kernel-5.14.0-687.55.1.el9_8.x86_64

[rpm -q kernel] menampilkan daftar kernel yang terpasang, tetapi sampai reboot yang benar-benar berjalan hanya satu yang muncul di [uname -r]. Bandingkan versi ini dengan versi perbaikan di pengumuman AlmaLinux.

5.14.0-687.55.1.el9_8 lebih rendah daripada 5.14.0-687.64.1.el9_8, versi perbaikan untuk AlmaLinux 9, sehingga perlu diperbarui.

Untuk melihat apakah jalur serangan terbuka, kami memeriksa port TCP IPv4 yang sedang mendengarkan dan status MPTCP.

ss -lnt4

State  Recv-Q Send-Q Local Address:Port Peer Address:Port
LISTEN 0      128          0.0.0.0:22        0.0.0.0:*
LISTEN 0      511          0.0.0.0:443       0.0.0.0:*
LISTEN 0      511          0.0.0.0:80        0.0.0.0:*

sysctl net.mptcp.enabled

net.mptcp.enabled = 0

ss -lnM

State Recv-Q Send-Q Local Address:Port Peer Address:Port

Port TCP IPv4 yang mendengarkan di semua alamat (0.0.0.0) adalah 80 dan 443 untuk server web serta 22 untuk SSH.

[net.mptcp.enabled] bernilai 0 dan tidak ada soket MPTCP, jadi jalur MPTCP yang dipakai serangan yang dipublikasikan tertutup. Namun celah ini berawal dari koneksi TCP IPv4 biasa, sehingga server yang mendengarkan tiga port IPv4 tetap perlu patch.

3️⃣ Pembaruan kernel Linux: tujuh paket kernel dan reboot

Sebelum mengganti kernel, kami membuat snapshot manual instans di konsol Lightsail. Lightsail tidak punya layar untuk memilih kernel saat boot, jadi jika server tidak menyala dengan kernel baru, Anda memulihkannya dengan membuat instans baru dari snapshot ini.

🔲 Simulator snapshot Lightsail

🔲 Memeriksa pembaruan kernel Linux dan reboot

Versi kernel perbaikan yang tersedia di repositori kami periksa dengan daftar dnf.

dnf --showduplicates list available kernel kernel-core kernel-modules kernel-modules-core kernel-tools kernel-tools-libs kernel-headers

kernel.x86_64                 5.14.0-687.64.1.el9_8   baseos
kernel-core.x86_64            5.14.0-687.64.1.el9_8   baseos
kernel-modules.x86_64         5.14.0-687.64.1.el9_8   baseos
kernel-modules-core.x86_64    5.14.0-687.64.1.el9_8   baseos
kernel-tools.x86_64           5.14.0-687.64.1.el9_8   baseos
kernel-tools-libs.x86_64      5.14.0-687.64.1.el9_8   baseos
kernel-headers.x86_64         5.14.0-687.64.1.el9_8   appstream

dnf download kernel-core-5.14.0-687.64.1.el9_8

Hanya mengunduh file paket kernel-core ke folder saat ini, tanpa memasangnya.

rpm -Kv kernel-core-5.14.0-687.64.1.el9_8.x86_64.rpm

    V4 RSA/SHA256 Signature, key ID b86b3716: OK

rpm -qp --changelog kernel-core-5.14.0-687.64.1.el9_8.x86_64.rpm | grep CVE-2026-98432

- ipv4: free inet_opt and ireq_opt after an RCU grace period (CKI Backport Bot) [RHEL-295635] {CVE-2026-98432}

Tanda tangannya OK, dan log perubahan memuat baris yang memperbaiki CVE-2026-98432. Pemberitahuan keamanan dnf (updateinfo) yang kami periksa pada 3 November belum memuat CVE ini, jadi kernel ini belum bisa diambil dengan [dnf upgrade --security].

Karena itu kami memasang tujuh paket kernel dengan menyebutkan versinya.

dnf install -y kernel-5.14.0-687.64.1.el9_8 kernel-core-5.14.0-687.64.1.el9_8 kernel-modules-5.14.0-687.64.1.el9_8 kernel-modules-core-5.14.0-687.64.1.el9_8 kernel-tools-5.14.0-687.64.1.el9_8 kernel-tools-libs-5.14.0-687.64.1.el9_8 kernel-headers-5.14.0-687.64.1.el9_8

================================================================================
 Package                Architecture Version                    Repository    Size
================================================================================
Installing:
 kernel                 x86_64    5.14.0-687.64.1.el9_8      baseos       1.1 M
 kernel-core            x86_64    5.14.0-687.64.1.el9_8      baseos        17 M
 kernel-modules         x86_64    5.14.0-687.64.1.el9_8      baseos        40 M
 kernel-modules-core    x86_64    5.14.0-687.64.1.el9_8      baseos        31 M
Upgrading:
 kernel-headers         x86_64    5.14.0-687.64.1.el9_8      appstream    2.6 M
 kernel-tools           x86_64    5.14.0-687.64.1.el9_8      baseos       1.3 M
 kernel-tools-libs      x86_64    5.14.0-687.64.1.el9_8      baseos       1.1 M
Removing:
 kernel                 x86_64    5.14.0-611.30.1.el9_7      @baseos        0
 kernel-core            x86_64    5.14.0-611.30.1.el9_7      @baseos       64 M
 kernel-modules         x86_64    5.14.0-611.30.1.el9_7      @baseos       33 M
 kernel-modules-core    x86_64    5.14.0-611.30.1.el9_7      @baseos       27 M

Transaction Summary
================================================================================
Install  4 Packages
Upgrade  3 Packages
Remove  4 Packages

Total download size: 94 M

Complete!

Empat paket kernel baru terpasang, tiga paket kernel-headers, kernel-tools, dan kernel-tools-libs ditingkatkan, dan tidak ada paket lain yang berubah. Karena pengaturan [installonly_limit=3] menyimpan paling banyak tiga kernel terpasang, empat paket dari kernel tertua 5.14.0-611.30.1.el9_7 dihapus, dan dari unduhan hingga selesai memakan waktu 74 detik.

Perintah resmi yang disarankan pengumuman AlmaLinux mengambil ulang informasi repositori lalu meningkatkan semua paket yang punya pembaruan.

sudo dnf clean metadata && sudo dnf upgrade

Karena paket selain kernel ikut ditingkatkan, langkah untuk menaikkan seluruh versi distribusi bisa dilihat di Pembaruan Alma Linux: 9.4 → 9.8 di LightSail.

Kernel baru hanya berlaku setelah reboot.

systemctl reboot

Setelah server menyala kembali, kami memeriksa berurutan kernel yang berjalan, kernel yang terpasang, dan kernel bawaan.

uname -r

5.14.0-687.64.1.el9_8.x86_64

rpm -q kernel

kernel-5.14.0-687.49.1.el9_8.x86_64
kernel-5.14.0-687.55.1.el9_8.x86_64
kernel-5.14.0-687.64.1.el9_8.x86_64

grubby --default-kernel

/boot/vmlinuz-5.14.0-687.64.1.el9_8.x86_64

Server menyala kembali kurang dari satu menit setelah perintah reboot, dan kernel yang berjalan maupun kernel bawaan untuk boot berikutnya sama-sama berubah menjadi 5.14.0-687.64.1.el9_8. Kernel sebelumnya, 5.14.0-687.55.1.el9_8, masih ada, jadi jika kernel baru bermasalah, Anda bisa mengembalikan kernel bawaan.

4️⃣ Pemblokiran sementara sebelum reboot: aturan nft dan batasannya

Jika Anda tidak bisa langsung reboot, Anda bisa memblokir paket yang memicu celah dengan aturan sementara sampai kernel perbaikan terpasang. Perintah di bagian ini tidak kami jalankan sendiri; isinya mengikuti panduan resmi (pengumuman AlmaLinux dan AWS).

Pada server Lightsail AlmaLinux 9.8 dengan Nginx dan Apache, reboot hanya butuh beberapa menit, jadi kami langsung memperbarui kernel tanpa pemblokiran sementara.

Celah ini hanya dipicu oleh permintaan koneksi TCP yang membawa opsi IPv4. Lalu lintas biasa hampir tidak memakai opsi IPv4, jadi memblokir paket TCP IPv4 yang membawa opsi saja tetap membuat koneksi sehari-hari berjalan seperti biasa.

sudo dnf install -y nftables

Perintah nft ada di paket nftables yang terpasang bersama firewalld. Jika server Anda tidak punya perintah ini, pasang paketnya lebih dulu.

sudo nft -f - <<'EOF'
add table ip cve_2026_98432
delete table ip cve_2026_98432
table ip cve_2026_98432 {
    chain prerouting {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength > 5 counter drop
    }
}
EOF

Membuat tabel yang memblokir paket TCP dengan panjang header IPv4 lebih dari 5, yaitu paket yang membawa opsi IPv4, pada tahap prerouting. Ini aturan yang diuji AlmaLinux pada 8, 9, dan 10; bisa dipakai bersama firewalld dan aman dijalankan berkali-kali.

sudo nft list table ip cve_2026_98432

Memeriksa apakah aturan sudah masuk; nilai counter pada keluaran adalah jumlah paket yang diblokir sejauh ini.

sudo nft delete table ip cve_2026_98432

Setelah reboot dengan kernel perbaikan, hapus tabel dengan perintah ini.

Aturan ini hilang saat reboot, jadi jika Anda reboot sebelum memasang kernel perbaikan, jalankan lagi perintah yang membuat tabel.

Aturan ini tidak cocok untuk server dengan aplikasi yang bergantung pada opsi IPv4. Contohnya jaringan yang memakai label keamanan CIPSO (NetLabel) yang dibawa dalam opsi IPv4; pada konfigurasi bawaan label ini tidak dipakai.

Aturan ini melindungi host dan kontainer yang menerima lalu lintas melalui host (cara bawaan Podman dan Docker). Lalu lintas antar kontainer di host yang sama bisa melewati aturan ini.

Di Debian, Ubuntu, dan openSUSE, pakai aturan iptables satu baris dari panduan AWS. Kernel AlmaLinux 9 dan CentOS Stream 9 tidak punya match u32 yang dipakai aturan ini, jadi gunakan aturan nft di atas.

sudo iptables -I INPUT 1 -p tcp -m u32 --u32 '0>>24&0x0f=6:15' -j DROP

Ekspresi u32 membaca kolom panjang header IPv4; jika nilainya lebih dari 5, paket itu membawa opsi IPv4. Setelah memasang kernel perbaikan, hapus aturan ini dengan perintah di bawah.

sudo iptables -D INPUT -p tcp -m u32 --u32 '0>>24&0x0f=6:15' -j DROP

Menutup port yang tidak dipakai di firewall Lightsail dan membatasi port sisanya hanya untuk alamat IP tepercaya juga merupakan cara yang disarankan dalam panduan AWS.

🔢 FAQ & Konten yang Direkomendasikan

🔗 Konten yang Direkomendasikan

Penanganan CVE lain: OpenSSH Kerentanan OpenSSH CVE-2024-6387: pemblokiran sementara dan penerapan patch Kerentanan OpenSSH CVE-2024-6387 memanfaatkan sinyal alarm yang berbunyi ketika pihak yang terhubung tidak menyelesaikan login dalam 120 detik. Kami merangkumnya berurutan: mematikan alarm untuk menutup celah mendesak, memperbaiki kode lewat pembaruan, lalu mengembalikannya. Lihat artikel →

Versi kernel Perintah cek versi kernel Linux dan cara cek versi distribusi Di Linux, Anda bisa memeriksa versi kernel dengan perintah uname. Manajemen paket Perintah dnf: Instal, Perbarui, dan Hapus Paket serta Perbedaannya dengan yum Perintah dnf adalah perintah manajemen paket untuk mencari, memasang, memperbarui, dan menghapus paket di Linux keluarga RHEL. Kerentanan PHP Kerentanan PHP: patch PHP2Shell dan cara cek versi PHP (WordPress) Ini celah eksekusi kode jarak jauh yang membuat kode bisa dijalankan di server bahkan dari permintaan tanpa login, jadi langkah pertama adalah memeriksa versi PHP yang dipakai situs Anda dan menaikkannya ke versi yang sudah di-patch.

ℹ️ Pemberitahuan Afiliasi
Konten di situs ini berisi tautan afiliasi. Jika pengunjung membeli produk atau layanan melalui tautan tersebut, situs ini menerima komisi dari penjual. Harga yang dibayar pembeli^{(turun saat ada diskon promo ↓)}, tidak naik karena hal ini. Harga, diskon, dan informasi stok yang ditampilkan berlaku pada saat penulisan dan bisa berbeda dengan kondisi sebenarnya, jadi pastikan kembali di situs penjual sebelum membeli. Pemilihan dan penilaian produk dibuat berdasarkan standar kami sendiri, dan ada tidaknya komisi tidak memengaruhi urutan maupun isi penilaian.