如何排查 CVE-2026-98432 并验证补丁-TKMiss Notes

扫描器报出 CVE-2026-98432 后，先不要把“命中”直接等同于“当前运行内核已经证实可利用”，也不要急着关闭 TCP 服务。第一轮应完成三件事：核对实际运行的内核与发行版，按官方公告匹配修复包；更新后重启并确认新内核确实已经加载；如有原来的触发路径，在隔离环境验证其在更新后不再成立。

先把现场证据保存下来：

uname -r
uname -a
cat /etc/os-release
cat /proc/version
ls -1 /lib/modules/

其中 uname -r 反映的是当前正在运行的内核，不是已经安装的全部内核。

现有编号资料没有提供目标 CVE 的上游公告、修复提交、受影响版本表或发行版包版本；只是另一个 CVE 的空占位记录，不能作为目标漏洞的证据。所给热点页面仅用于确定选题。因此，本文不虚构触发函数、版本区间、CVSS、修复 commit 或 PoC，这些字段发布前必须用 Linux 上游公告、修复提交及发行版安全公告补齐。

我到底受不受影响，别只看扫描器结论

判断影响范围时，要同时核对上游版本、发行版回补、实际运行内核和漏洞触发前提。只比较 uname -r 的主版本号容易误判，因为 Ubuntu、Debian 等发行版可能把安全修复回补到较旧的内核分支。

判定层	发布前必须补齐的字段
Linux 上游	受影响起止版本、引入与修复 commit、适用架构或配置条件
发行版	受影响分支、修复包版本、官方公告编号
当前主机	运行内核版本、已安装包版本、是否已重启加载
触发条件	权限要求、TCP 状态或操作序列、网络可达性
最终状态	不受影响、待更新、已修复、官方信息不足

确认 /etc/os-release 后，应只使用该发行版官方文档提供的包查询方式，检查已安装内核包、完整构建号和 changelog，再用官方公告判断修复包是否已经覆盖当前分支。官方尚未公布范围时，应把主机标记为“待厂商确认”，不能默认安全，也不能仅凭扫描器结论安排无差别停机。

什么 TCP 时序或操作会触发这次 UAF

目前缺少目标 CVE 的上游修复 diff、漏洞报告和厂商公告，因而不能写出“发送某种数据包即可触发”之类的结论。版本处于受影响范围，只说明具备触发代码的基础。能否实际触发，要依次核对漏洞路径是否可达、是否需要本地权限或特殊能力、需要的 TCP 状态迁移与对象释放顺序，以及是否存在竞争窗口或对象复用。IPv4、IPv6、网络命名空间和内核配置是否构成额外前提，也要确认。最终影响究竟是崩溃、拒绝服务、内存破坏还是权限提升，也必须以官方确认结果为准。

UAF 的问题在于：某个对象已经被释放，其他路径仍保留对它的引用，后续操作再次解引用时访问了失效内存。编号资料中的 SCTP 案例展示了“释放对象后保留指针、后续操作触发访问”的生命周期问题，但它不是 TCP，也不能提供本漏洞的版本范围或触发链。TCP ISN 资料只涉及初始序列号生成，同样不能证明本漏洞的触发条件。

补丁装了为什么还会报风险

包管理器显示已经安装修复版本，只能证明文件写入了磁盘，不能证明当前运行内核已经包含补丁。Linux 通常会保留旧内核镜像，安装完成后仍可能从引导配置中启动旧版本。

uname -r
uname -a
cat /proc/version

如果 uname -r 仍是旧版本，应先正常重启，再确认引导程序选中了修复构建。记录时要区分三个状态：已安装表示包和 changelog 中存在修复条目；已加载表示重启后的运行内核与官方修复构建一致；已验证表示隔离环境中的原触发用例或官方回归用例不再触发 UAF。

自定义内核应直接检查源码是否包含对应修复提交；滚动发行版应按官方分支公告判断；容器环境应检查宿主机内核，不能拿容器镜像中的软件包版本代替宿主内核状态。

怎样证明补丁真的生效

验证补丁时，需要核对三层证据。先检查内核包版本和 changelog，确认其中明确包含 CVE 编号或上游修复提交；再确认重启后的运行内核与官方修复构建一致；最后在独立测试环境中使用上游回归测试、厂商验证用例或经过确认的最小复现方法，对比修补前后的结果。

版本、加载状态和行为验证的拆分方式，可参考自动化漏洞分析中的补丁验证流程，但目标 CVE 的具体结论仍须来自上游或厂商资料。扫描器转绿不能单独证明漏洞路径已经失效；需要故意触发内存错误时，只能在隔离测试环境执行，不能直接作用于生产连接。没有可靠复现方法时，结论应写成“修复版本已加载，行为验证尚未完成”，而不是“绝不可能再触发”。

没有补丁时，哪些临时措施不能算修复

暂无补丁时，只能采用官方明确认可的缓解措施。不要因为其他资料讨论过 nftables UAF 就禁用 nftables 模块，也不要套用 SCTP UAF 的版本范围或补丁。只有当官方确认攻击可远程触发时，收紧 TCP 服务或网络入口的暴露范围才可能降低风险，而且仍应标记为临时缓解，不能写成已经修复。