Ubuntu не выпустила патч для критической уязвимости, хотя Debian уже исправила её
WTF Ubuntu?
CVE-2026-98432 — критическая уязвимость с оценкой CVSS 9.8 в TCP-коде ядра Linux, существующая с 2016 года и позволяющая удалённо получить root на сервере. Anthropic подтвердила рабочий эксплойт. Debian закрыла дыру 16 октября, а Ubuntu спустя более двух недель по-прежнему помечает все поддерживаемые релизы, включая LTS, как уязвимые — при том что на своём сайте компания обещает «своевременные патчи для критических уязвимостей». Автор, потеряв доверие, отключает свои серверы на Ubuntu и уходит с дистрибутива.
Дистрибутивы, которыми управляют волонтёры (Debian, Arch, Alpine...), уже выпустили исправление. А Ubuntu, которую делает компания, продающая подписки на безопасность, — нет.
- BoppreH
Хуже того, на странице инцидента безопасности Ubuntu[0] указано «Ubuntu Priority: High» (в отличие от Critical, что запустило бы внеплановый патч). Там есть ссылка «Why this priority?», которая просто гласит:
> Почему у этой CVE высокий приоритет?
> См. оценку CVSS от Ubuntu
И всё, мы даже не получаем точку в этом недописанном предложении. Далее идёт общая ссылка, объясняющая, что такое «Ubuntu Priority», но та страница противоречит их выбору. Заметьте, что там также не предлагается никаких мер по смягчению, и даже (ужасно невнятное) описание скопировано со страницы NIST, так что фактического сообщения от Ubuntu нет.
У меня уже было плохое предчувствие, когда я впервые увидел «Get more security updates through Ubuntu Pro» при `apt upgrade`, и теперь это тот самый толчок, который мне был нужен, чтобы перейти на другой дистрибутив.
[0] https://ubuntu.com/security/CVE-2026-98432#priority-reason
- throw0101c
Для справки: ядра с исправлениями находятся в репозиториях «proposed» для каждого LTS-релиза:
* https://launchpad.net/ubuntu/+source/linux
Вы можете подтянуть их, добавив «-t» к вашему apt-get (но по умолчанию они не появятся).
В 26LTS новое ядро попало в репозитории updates/security 28 октября.
- alentred
Справедливости ради: хотя оценка критическая (9.8), у неё EPSS-оценка <1% (вероятность того, что её действительно используют). Согласно [1], [2] и другим, в худшем случае проблема приводит к краху ядра или отказу в обслуживании. Я тоже читал пост Anthropic, но что-то не сходится между всеобщими заявлениями о DoS и тем, что Anthropic в одиночку утверждает RCE. Пока что в прочитанных мной рекомендациях говорится «при определённых условиях ... приводит к краху ядра» и тому подобное.
[1] https://app.opencve.io/cve/CVE-2026-98432
[2] https://aws.amazon.com/security/security-bulletins/2026-160-...
- paxy
Критиковать — это нормально, но хотя бы делайте это конструктивно. Эта энергия «я требую позвать менеджера» должна оставаться за пределами open source.
В посте нет никаких подробностей о том, что это за уязвимость, насколько она критична, как она влияет лично на них, насколько уязвимы их серверы, как они её обходят.
Просто заголовок, рассчитанный на максимальное возмущение, а за ним несколько бессмысленных строк.
- vanschelven
Я знал, о чём речь, ещё до клика по ссылке. Пытаясь найти способы устранения для уязвимых систем, я также искал хоть какое-нибудь «официальное» заявление от Ubuntu о том, что, чёрт возьми, вообще происходит, но пока не смог найти. Видимо, это должно пройти через фазу «Hacker News уделяет этому достаточно внимания, чтобы кому-то стало не всё равно», которую мы все так хорошо знаем...
- StrLght
Пострадали ли компании из-за этой уязвимости? У Ubuntu абсолютно огромная база установок. Отсутствие заметных инцидентов говорит о том, что 9.8 может не отражать реальность.
Может, пора для StealMyBitcoinV2…
- strenholme
Ну что ж, я сделал это. Это была та самая соломинка, которая сломала спину верблюда: я перешёл на Rocky Linux. Полный переход занял у меня, наверное, часа четыре.
Я больше пользователь RedHat, и Ubuntu мне никогда не казался по-настоящему удобным. Мне не нравится необходимость делать инкрементальные обновления раз в два года или около того; я предпочёл бы одно большое обновление примерно раз в 7-8 лет и иметь железобетонную среду разработки. Кроме того, `dnf` проще и стабильнее, чем этот бардак из `apt-get` и `unattended-upgrades`.
- strenholme
Вот веб-страница Ubuntu об этой уязвимости:
https://ubuntu.com/security/CVE-2026-98432
Спустя более недели после раскрытия и патчей она всё ещё не исправлена в Ubuntu.
Что касается меня, то часть меня хочет перейти на Rocky Linux 10.
- bortimus
Когда AWS выпускает патчи для Amazon Linux 2, а Ubuntu всё ещё ждёт.. да уж.
- imjonse
«Anthropic говорит, что создала работающий эксплойт, который получает root на сервере. Полный захват.»
Со связанной страницы CVE Ubuntu:
"
Уязвимая система - Влияние на конфиденциальность Низкое
Уязвимая система - Влияние на целостность Низкое
Уязвимая система - Влияние на доступность Высокое
"
что скорее указывает на отказ в обслуживании. Так что же это, ведь в связанном письме из debian исправлены десятки CVE ядра.