In Breve
- Qual è la vulnerabilità del kernel Linux?
- È una falla critica (CVE-2026-98432) che mette a rischio i server self-hosted che utilizzano il protocollo Xray.
- Come possono gli amministratori proteggere i loro server?
- Devono applicare una patch seguendo una procedura in tre passaggi tramite l'app.
- Quali server non sono interessati dalla vulnerabilità?
- I server gestiti dai provider (Premium, Free e Business) non sono interessati.
Una vulnerabilità critica del kernel Linux, identificata con il codice CVE-2026-98432, rappresenta una seria minaccia per i server self-hosted che ospitano servizi VPN. Questa falla, presente dalla versione 4.4 del kernel, ha un punteggio di gravità pari a 9,8, il che la rende particolarmente allarmante per gli amministratori di sistema.
In particolare, i server che utilizzano il protocollo Xray e la funzionalità MPTCP sono maggiormente esposti. La vulnerabilità è causata da una race condition nel codice che gestisce le nuove connessioni TCP IPv4. Un attaccante può sfruttare questa falla per compromettere completamente un server vulnerabile in circa 53 minuti, senza la necessità di interazione da parte dell’utente o di inserire una password.
I server gestiti da provider, incluse le versioni Premium, Free e Business, non risultano interessati poiché l’infrastruttura è già stata aggiornata e verificata. Tuttavia, gli amministratori di server self-hosted devono agire rapidamente per mitigare i rischi associati a questa vulnerabilità.
Xray, il motore utilizzato da protocolli resistenti alla censura come VLESS, è considerato ad alto rischio. Sviluppato in Go, abilita MPTCP di default, il che può lasciare la vulnerabilità attiva in modo invisibile agli amministratori.
Per i server gestiti tramite l’app, è disponibile una procedura in tre passaggi per applicare la patch. Questa procedura richiede la versione 5.1.0.6 o successive dell’app:
- Rimuovere Xray dalla scheda Protocols del server.
- Dalla scheda Management, selezionare Update server packages e riavviare la macchina per caricare il kernel patchato.
- Reinstallare Xray dalla scheda Protocols, che in questo modo utilizzerà la versione corretta 26.10.31.
Durante questa operazione, il server rimarrà offline e tutte le connessioni Xray esistenti saranno interrotte, quindi sarà necessario ripristinare l’accesso per gli utenti dopo il completamento della procedura.
È importante notare che la funzione di aggiornamento dell’app non garantisce sempre che il kernel sia effettivamente patchato. In alcune versioni di Ubuntu, la correzione è disponibile solo nel canale di testing “-proposed”, il che significa che un successivo riavvio potrebbe riportare la macchina in uno stato vulnerabile fino a una nuova reinstallazione di Xray.
Se non è possibile applicare immediatamente la patch al kernel, sono state indicate alcune mitigazioni temporanee. Tra queste, vi è l’implementazione di una regola firewall per bloccare le IP options o la rimozione di Xray con la migrazione al profilo UDP AmneziaWG. Prima di questa segnalazione, erano già stati rilasciati aggiornamenti per Xray-core e un aggiornamento obbligatorio per gli utenti Premium e Free a settembre.
