CVE-2026-98432：Ubuntu为何迟迟不修复？

WTF Ubuntu?

▲ 1244chalmovsky570 HN 评论区

Linux内核TCP代码中存在一个自2016年遗留至今的严重漏洞CVE-2026-98432，CVSS评分高达9.8，可被远程利用获取root权限。Debian已于10月16日完成修复，而Ubuntu在漏洞被评级为9.8的九天、且已有可用root exploit的六天后仍未发布补丁。Ubuntu官网曾承诺对关键漏洞提供“及时修复”，但现实却令人失望。作为长期依赖Ubuntu LTS版的企业用户，我不得不将服务器下线，并彻底失去信任。相比之下，由志愿者维护的Debian、Arch、Alpine等发行版已迅速响应。这让我质疑：一家靠销售安全订阅为生的公司，为何在安全响应上如此迟缓？

Ubuntu承诺对关键漏洞提供及时修复，但在漏洞被评定为9.8分且已有可用root exploit后的九天里，仍未发布补丁。
阅读原文 →HN 评论区RSS

HN 评论区

570
  1. BoppreH

    更糟糕的是，Ubuntu 安全事件页面 [0] 将优先级列为“Ubuntu Priority: High”（而非 Critical，Critical 才会触发计划外补丁）。有一个“为何此优先级？”的链接，内容却只是：

    > 为什么这个 CVE 是高优先级？

    > 参见 ubuntu cvss score

    仅此而已，甚至没有给这个 TBD 的句子加个句号。后面跟着一个解释“Ubuntu Priority”含义的通用链接，但那页内容却与他们做出的选择相矛盾。注意，该页面也没有提供任何缓解措施，甚至连（极其晦涩难懂的）描述都是直接照搬自 NIST 页面，所以根本没有任何来自 Ubuntu 的实际信息。

    早在第一次看到 `apt upgrade` 提示“通过 Ubuntu Pro 获取更多安全更新”时，我就有种不祥的预感，现在这成了我转向其他发行版的最后一根稻草。

    [0] https://ubuntu.com/security/CVE-2026-98432#priority-reason

  2. throw0101c

    顺便提一下，包含修复方案的内核已经存在于每个 LTS 版本的“proposed”仓库中：

    * https://launchpad.net/ubuntu/+source/linux

    你可以在 apt-get 命令中加一个“-t”来拉取它们（但默认不会显示）。

    26LTS 的新内核已于 10 月 28 日进入 updates/security 仓库。

  3. alentred

    公平地说：虽然严重性评分是 9.8（critical），但其 EPSS 分数（被实际利用的概率）小于 1%。根据 [1]、[2] 和其他来源，最坏的情况也只是导致内核崩溃或拒绝服务。我也读了 Anthropic 的文章，但总觉得哪里对不上：大家都说是 DoS，唯独 Anthropic 声称是 RCE。目前我读到的公告都写着“在特定条件下……导致内核崩溃”之类的话。

    [1] https://app.opencve.io/cve/CVE-2026-98432

    [2] https://aws.amazon.com/security/security-bulletins/2026-160-...

  4. paxy

    有批评是可以的，但至少要有建设性。这种“我要找你们经理谈谈”的劲头不该出现在开源社区里。

    这篇帖子没有提及任何关于该漏洞的详细信息：它是什么、有多严重、如何影响发帖人个人、他们的服务器有多脆弱、他们是如何规避的。

    只有一个旨在引发最大愤怒的标题，后面跟着几行毫无意义的废话。

  5. vanschelven

    我还没点链接就知道这是怎么回事。在试图寻找受感染系统的修复方案时，我也一直在寻找 Ubuntu 方面关于“到底发生了什么鬼事”的任何“官方”声明，但至今没找到。我想这必须得经历“Hacker News 引起足够关注，才会有人理会”的阶段，这我们大家都太熟悉了……

  6. StrLght

    有没有公司因为这个漏洞被入侵？Ubuntu 拥有庞大的用户基数。没有显著的安全事件表明，9.8 这个评分可能并不反映现实情况。

    也许是时候推出 StealMyBitcoinV2 了……

  7. strenholme

    这是 Ubuntu 关于该漏洞的网页：

    https://ubuntu.com/security/CVE-2026-98432

    披露和补丁发布已经过了一周多，Ubuntu 仍未修复。

    至于我，我的一部分想法是转向 Rocky Linux 10。

  8. strenholme

    好吧，我做了。这就是压垮骆驼的最后一根稻草：我已经迁移到 Rocky Linux 了。完整过渡大概花了四个小时。

    我更像是一个 RedHat 用户，Ubuntu 从来都让我觉得不太舒服。我不喜欢每两年左右就要做一次增量升级；我更愿意大约每 7-8 年做一次大的升级，从而拥有一个坚如磐石的开发环境。另外，`dnf` 比 `apt-get` 和 `unattended-upgrades` 那一堆乱糟糟的东西更简单、更稳定。

  9. bortimus

    当 AWS 已经在为 Amazon Linux 2 发布补丁，而 Ubuntu 还在等待的时候……是啊。

  10. alittlebee

    我理解这种挫败感，但难道没有一条 iptables 规则可以作为可行的缓解措施吗？为什么不先部署那个呢？

同日更多故事

2026-11-02