ארגונים שמפעילים שרתי Linux עם שירותי TCP חשופים צריכים לבדוק כעת את גרסת הליבה: AWS פרסמה ב־30 באוקטובר 2026 עדכון אבטחה ל־CVE-2026-98432, חולשת use-after-free בנתיב IPv4 TCP. לפי הפרסום הרשמי, החולשה נוגעת לליבות Linux מגרסה 4.4 ואילך, ובתנאים מסוימים תוקף מרוחק ולא מאומת יכול לשלוח מנות TCP מעוצבות למאזין פגיע ולגרום לפגיעה בזיכרון — החל מקריסת מערכת ועד אפשרות להרצת קוד מרחוק.
מה בדיוק קורה ב־TCP handshake?
הבעיה נוצרת במרוץ תהליכים בזמן טיפול בבקשות חיבור TCP משודרות מחדש ובמעבר של sockets בין הקשרים. שחרור אובייקט בזמן שעדיין קיימת אליו הפניה עלול להוביל ל־use-after-free. דירוג החומרה של AWS הוא Important עם ציון CVSS 8.1. חשוב לדייק: לא כל מערכת עם Linux ניתנת לניצול מיידי, אך שירות TCP נגיש שמאזין על ליבה פגיעה מגדיל את שטח התקיפה ולכן אין להסתפק בהערכת סיכון תאורטית.
Amazon Linux 2 ו־2023: העדכון זמין
AWS פרסמה חבילות kernel מתוקנות עבור Amazon Linux 2 ועבור Amazon Linux 2023. ב־Amazon Linux 2 אפשר לעדכן באמצעות מנהל החבילות או להחיל את advisory ALAS2-2026-4065. לאחר התקנת חבילת הליבה החדשה נדרש אתחול כדי שהמערכת תעלה עם הגרסה המתוקנת; התקנת החבילה לבדה אינה מחליפה את הליבה הפעילה בזיכרון.
רשימת פעולות מומלצת לצוותי IT
- מפו את החשיפה: אתרו שרתי Linux עם kernel 4.4 ומעלה ושירותי IPv4 TCP הנגישים מרשתות לא מהימנות.
- עדכנו את חבילת הליבה: השתמשו במאגרי ההפצה המאושרים וב־advisory הרלוונטי. בארגונים שאינם מריצים Amazon Linux יש לבדוק את הודעת הספק של ההפצה.
- אתחלו ובדקו: לאחר חלון תחזוקה, אתחלו את השרת ואמתו את הגרסה הפעילה באמצעות
uname -r. - הקטינו חשיפה בזמן הפריסה: צמצמו listeners מיותרים והגבילו גישה באמצעות Security Groups, ACL או Firewall. בקרות רשת מפחיתות סיכון אך אינן תחליף לעדכון.
בסביבות autoscaling כדאי לעדכן גם את תמונות הבסיס, תבניות ההשקה וצינור ה־CI שמייצר אותן. אחרת, מופעים חדשים עלולים לחזור לגרסה הפגיעה גם לאחר שהצי הקיים תוקן.
מקורות
תמונת נושא: Sergei Starostin / Pexels, ברישיון Pexels Free License.
