CVE-2026-98432؛ هشدار به کاربران Go برای وصله هسته لینوکس

آسیب‌پذیری CVE-2026-98432 در هسته لینوکس، نحوه مدیریت اتصال‌های IPv4 TCP را تحت تأثیر قرار می‌دهد و می‌تواند برای سرورهای نوشته‌شده با Go هم خطرساز باشد. تیم امنیت Go می‌گوید راهکار اصلی و قابل‌اعتماد برای مقابله با این مشکل، ارتقای سیستم به نسخه وصله‌شده هسته لینوکس است.

#نکات کلیدی

• این آسیب‌پذیری از نوع استفاده پس از آزادسازی حافظه است.
• یک نمونه بهره‌برداری، امکان اجرای کد از راه دور روی سرورهای دارای شنونده MPTCP را نشان داده است.
• برنامه‌های Go از نسخه ۱.۲۴ به بعد، MPTCP را به‌طور پیش‌فرض برای سوکت‌های شنونده در لینوکس فعال می‌کنند.
• غیرفعال‌کردن MPTCP فقط یک راهکار موقت و شکننده محسوب می‌شود.
• توصیه اصلی تیم امنیت Go، نصب نسخه وصله‌شده هسته لینوکس است.

#چه خطری سرورهای لینوکسی را تهدید می‌کند؟

طبق هشدار رسمی تیم امنیت Go، CVE-2026-98432 یک مشکل استفاده پس از آزادسازی حافظه در مدیریت اتصال‌های IPv4 TCP هسته لینوکس است. در بهره‌برداری شرح‌داده‌شده، سروری که یک شنونده Multipath TCP یا MPTCP در دسترس دارد، در برابر اجرای کد از راه دور یا RCE آسیب‌پذیر نشان داده شده است.

MPTCP قابلیتی برای برقراری یک ارتباط TCP از طریق چند مسیر شبکه است. نکته مهم اینجاست که هرچند نمونه بهره‌برداری به یک شنونده MPTCP وابسته بوده، مشکل زیربنایی مختص MPTCP نیست؛ بنابراین ممکن است سیستم‌های فاقد شنونده MPTCP نیز در برابر حمله‌های مشابه آسیب‌پذیر باشند.

#ارتباط آسیب‌پذیری با برنامه‌های Go

از Go ۱.۲۴ به بعد، برنامه‌های این زبان به‌طور پیش‌فرض MPTCP را برای سوکت‌های شنونده روی لینوکس فعال می‌کنند. در نتیجه، اگر شما سرویس شبکه‌ای خود را با نسخه‌های جدید Go ساخته و روی لینوکس اجرا کرده‌اید، باید وضعیت هسته سیستم را بررسی کنید.

برای غیرفعال‌کردن پیش‌فرض MPTCP در زمان اجرا می‌توان متغیر محیطی GODEBUG=multipathtcp=0 را تنظیم کرد. افزودن godebug multipathtcp=0 به فایل go.mod ماژول اصلی نیز این قابلیت را در زمان ساخت غیرفعال می‌کند.

برنامه‌ها همچنین می‌توانند با توابع net.Dialer.SetMultipathTCP و net.ListenConfig.SetMultipathTCP وضعیت MPTCP را برای هر سوکت جداگانه تعیین کنند. این تنظیم صریح، مقدار تعیین‌شده از طریق GODEBUG را نادیده می‌گیرد.

#چرا غیرفعال‌کردن MPTCP کافی نیست؟

تیم امنیت Go هشدار داده که خاموش‌کردن MPTCP به‌صورت برنامه‌به‌برنامه، راهکاری شکننده است. باقی‌ماندن حتی یک شنونده MPTCP در دسترس می‌تواند سیستم را همچنان آسیب‌پذیر نگه دارد؛ ضمن اینکه معلوم نیست همه روش‌های احتمالی بهره‌برداری از این باگ به MPTCP وابسته باشند.

به همین دلیل، اقدام پیشنهادی برای مدیران سیستم و توسعه‌دهندگان روشن است: هسته لینوکس را به نسخه‌ای ارتقا دهید که این آسیب‌پذیری در آن وصله شده باشد. تیم Go نیز در حال حاضر تغییر رفتار پیش‌فرض MPTCP در خود زبان را زودهنگام می‌داند و بررسی موضوع را ادامه می‌دهد.

#جمع‌بندی

اگر برنامه Go شما روی لینوکس سرویس شبکه‌ای ارائه می‌کند، تنها به غیرفعال‌کردن MPTCP تکیه نکنید. مطمئن‌ترین اقدام، بررسی نسخه هسته و نصب وصله امنیتی مربوط به CVE-2026-98432 است.