Vulnerabilità critica nel kernel Linux: allerta per i server self-hosted con Xray

In Breve

Qual è la vulnerabilità critica nel kernel Linux?

La vulnerabilità CVE-2026-98432 espone i server self-hosted che utilizzano il protocollo Xray, permettendo compromissioni rapide.

Chi è a rischio a causa di questa vulnerabilità?

Gli amministratori di server self-hosted che utilizzano il protocollo Xray e MPTCP sono particolarmente a rischio.

Come possono gli amministratori proteggere i loro server?

Devono seguire una procedura in tre passaggi per applicare la patch e considerare mitigazioni temporanee se non possono aggiornare subito.

Una vulnerabilità critica del kernel Linux, identificata con il codice CVE-2026-98432, sta sollevando preoccupazioni tra gli amministratori di server self-hosted. Questa falla, presente dal rilascio della versione 4.4, ha un punteggio di gravità di 9,8 su 10, rendendola particolarmente pericolosa per i server che ospitano servizi VPN, in particolare quelli che utilizzano il protocollo Xray e la funzionalità MPTCP.

La vulnerabilità si manifesta come una race condition nel codice che gestisce le nuove connessioni TCP IPv4. Un attaccante può sfruttare questa falla per compromettere completamente un server vulnerabile in circa 53 minuti, senza necessità di interazione da parte dell’utente o di inserimento di password.

I server gestiti da provider, come le versioni Premium, Free e Business, non sono interessati da questa vulnerabilità, poiché la loro infrastruttura è già stata aggiornata e verificata. Tuttavia, gli amministratori di server self-hosted devono agire rapidamente per mitigare i rischi associati a questa falla.

Xray, un motore utilizzato da protocolli resistenti alla censura come VLESS, è considerato ad alto rischio. Essendo sviluppato in Go, abilita MPTCP di default, il che può lasciare la vulnerabilità attiva senza che gli amministratori se ne accorgano.

Per i server gestiti tramite l’app, è disponibile una procedura in tre passaggi per applicare la patch. Gli amministratori devono:

• Rimuovere Xray dalla scheda Protocols del server.
• Dalla scheda Management, selezionare Update server packages e riavviare la macchina per caricare il kernel patchato.
• Reinstallare Xray dalla scheda Protocols, assicurandosi di utilizzare la versione corretta 26.10.31.

Durante questo processo, il server rimarrà offline e le connessioni Xray esistenti saranno interrotte, quindi sarà necessario ripristinare l’accesso per gli utenti.

Tuttavia, è importante notare che la funzione di aggiornamento dall’app non garantisce sempre che il kernel sia effettivamente patchato. Su alcune versioni di Ubuntu, la correzione è disponibile solo nel canale di testing -proposed, e un successivo riavvio potrebbe riportare la macchina in uno stato vulnerabile fino a una nuova reinstallazione di Xray.

Se non è possibile applicare subito la patch al kernel, gli amministratori possono considerare alcune mitigazioni temporanee, come l’implementazione di una regola firewall per bloccare le IP options o la rimozione di Xray con la migrazione al profilo UDP AmneziaWG. Prima di questa segnalazione, erano già stati rilasciati aggiornamenti per Xray-core e un aggiornamento obbligatorio per gli utenti Premium e Free.