Временный nftables-фильтр для CVE-2026-98432 развернут на 26 серверах
Временная мера против уязвимости CVE-2026-98432 уже применена на 26 серверах. Фильтр настраивается в nftables на Ubuntu с systemd и ограничивает входящий трафик самого хоста.
Главное в цифрах
- Количество серверов с временным фильтром: 26
- Таймер автоотката при пробном запуске: пять минут
Для CVE-2026-98432 развернули временный фильтр nftables на 26 серверах. Он ограничивает входящий трафик самого хоста и применяется до выхода исправления ядра.
Исправление ядра при этом остается обязательным. По данным Canonical, для части веток пакеты пока находятся в статусе work in progress, а указанные версии являются плановыми.
Порядок применения
Процедура начинается с пробного запуска на одном узле. Сначала сохраняются действующие правила, готовится доступ к консоли хостера на случай потери SSH и проверяется наличие полного пути к программе nft.
Правило загружается только после того, как создан таймер автоотката на пять минут. После загрузки проверяются новое SSH-подключение, прикладной трафик и сравнение с сохраненной конфигурацией. Если таблица cve_2026_98432 уже существует, сначала выясняется, кто ее установил.
Для трафика, который пересылается контейнерам или другим узлам, нужна отдельная цепочка фильтрации. Загрузчик фильтра должен добавлять только свою таблицу и не стирать правила основного firewall, поэтому flush ruleset в конфигурации не используется.
Ограничения временной меры
Red Hat рекомендует отбрасывать IPv4 TCP-пакеты с IP-options. Это снижает экспозицию, но не заменяет исправление ядра.
После выпуска исправления ядро обновляется, система загружается в новое ядро, временная таблица удаляется из загрузки и из системы.
