【安全提醒】Linux 内核漏洞 CVE-2026-98432，宝塔面板已提供...

近日，Linux 内核披露高危漏洞 CVE-2026-98432，CVSS 3.1 评分为 9.8。该漏洞涉及 IPv4 TCP 连接处理，特定条件下可能导致服务器崩溃，甚至被远程攻击者利用执行 Root 命令。漏洞详情
针对这一问题，宝塔面板已新增安全检测规则，并提供临时加固措施。不依赖 MPTCP 的用户，可以先通过「修复面板」完成加固，再按发行版公告安装内核安全更新。
一、哪些服务器需要关注
该漏洞主要影响 Linux 内核 4.4 及以上的部分版本。是否受影响，需要结合发行版的补丁情况判断；已安装并运行修复后内核的系统不受影响。
漏洞利用需要精确触发内核并发竞争，并构造复杂的内存利用链。当前已披露的远程代码执行研究针对启用了 MPTCP（多路径 TCP）监听的环境，已验证可以远程执行 Root 命令。
用户无需过度恐慌，但也不要因为利用条件复杂就忽略更新。
二、通过宝塔面板完成临时加固
宝塔面板安装时默认安装并启用基础网站统计组件，相关服务在特定环境下可能使用 MPTCP 监听。
目前已提供以下处理措施：

• 通过「修复面板」默认关闭系统 MPTCP 功能。
• 自动将配置写入 /etc/sysctl.d/99-bt.conf，确保重启后继续生效。
• 宝塔面板 13.2.0 安全中心新增 CVE-2026-98432 风险检测规则。
  

如果业务依赖 MPTCP，请先评估影响，不要直接关闭，应优先采用发行版提供的内核安全更新方案。
不依赖 MPTCP 的用户，可按以下步骤操作，无需重新安装面板：

• 登录宝塔面板，在首页右上角点击「修复」。
• 在弹出的窗口中点击「继续修复」，等待完成。
• 打开服务器终端，执行以下命令检查：
  

sysctl net.mptcp.enabled如果返回：
net.mptcp.enabled = 0表示当前系统已关闭 MPTCP。
再检查持久化配置：
cat /etc/sysctl.d/99-bt.conf确认文件中包含：
net.mptcp.enabled = 0
如果仍返回 1，或文件中没有对应配置，请检查面板修复结果，必要时联系宝塔客服。若提示该内核参数不存在，也不能据此判断漏洞已修复。
三、完成加固后，仍需更新内核
关闭 MPTCP 只是临时缓解措施，不能代替内核安全更新。 漏洞本身位于 Linux 内核 TCP 实现中，并非 MPTCP 专有问题。Ubuntu 官方说明
请关注所用 Linux 发行版的官方安全公告，安装包含 CVE-2026-98432 修复补丁的内核更新，并按要求重启服务器。
重启后，可执行以下命令查看实际运行的内核版本：
uname -r对照发行版公告确认已运行修复后的内核，再检查网站及其他业务是否正常。仅安装内核软件包、尚未按要求重启，不代表补丁已经生效。