Dobësi në kernelin Linux: Fragnesia dhe defekti TCP që duhet përditësuar tani

Çdo dobësi në kernelin Linux duket abstrakte derisa ndodh në serverin tuaj. Nëse faqja, aplikacioni ose sistemi juaj i brendshëm punon në Linux, dy defekte meritojnë disa minuta vëmendje këtë javë. Njëri po shfrytëzohet tashmë. Tjetri është zbuluar rishtas, disa shpërndarje ende po e rregullojnë dhe vlerësimet e rrezikut ndryshojnë sipas burimit.

Ky udhëzues i shpjegon të dyja thjesht, tregon kush rrezikohet realisht dhe jep një listë që mund t’ia dorëzoni personit që administron serverat.

Fragnesia (CVE-2026-46300): tashmë në listën e CISA për dobësi të shfrytëzuara

Fragnesia është një dobësi e ngritjes së privilegjeve lokale në kodin XFRM ESP-in-TCP të kernelit. Sipas ekipit të CVE të kernelit, një gabim në trajtimin e faqeve të memories lejon që dekriptimi IPsec të shkruajë mbi memorien që mban page cache. Ka vlerësim CVSS 3.1 prej 7.8 (I lartë), dhe kodi i cenueshëm vjen që nga Linux 3.9. Një proof-of-concept publik ekziston që nga publikimi i dobësisë në maj 2026.

Ndryshimi i kësaj jave: sipas raportimeve të palëve të treta, CISA e shtoi në katalogun Known Exploited Vulnerabilities (KEV) më 28 tetor 2026, me afat korrigjimi për institucionet federale 31 tetori. Sipas raportimeve, regjistrimi në KEV përmend se mund të lidhet në zinxhir me dobësitë e fundit PHP2Shell: një sulmues që vendos një webshell PHP e përdor defektin e kernelit për të marrë të drejta root.

Pse ka rëndësi zinxhiri për bizneset e zakonshme

“Lokale” tingëllon e qetësuese, por në një server web nuk është. Një aplikacion PHP i cenueshëm (plugin WordPress, aplikacion Laravel, CMS i vjetër) i jep sulmuesit ekzekutim kodi si përdoruesi i web-it. Ngritja e privilegjeve e kthen këtë pikëmbështetje në kontroll të plotë të makinës, përfshirë çdo faqe dhe bazë të dhënash tjetër mbi të. Prandaj ka rëndësi të përditësohen të dyja shtresat: PHP dhe kerneli.

CVE-2026-98432: defekti TCP (use-after-free)

Çështja e dytë është një race condition në vendosjen e lidhjeve TCP IPv4 në kernel, që mund të çojë në use-after-free. Vjen që nga Linux 4.4, dhe IPv6 nuk preket. Rregullimi hyri në kodin kryesor më 5 tetor dhe gjendet në kernelet e qëndrueshëm 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 dhe 7.3.

Vlerësimi i ashpërsisë është i përzier, dhe është e drejtë ta themi hapur:

• Ekipi i CVE të kernelit e vlerësoi 9.8.
• Red Hat, Oracle dhe SUSE përdorin 8.1 (faqja e CVE e Red Hat tregonte edhe 5.9 “Mesatar”), duke argumentuar se gara është e vështirë për t’u fituar.
• Amazon e liston 7.0.

Anthropic publikoi një shkrim ku thotë se Claude prodhoi një exploit funksional në distancë kundër një serveri me dëgjues MPTCP, pas nxitjes fillestare, dhe se nuk e ka publikuar kodin. Raportimet deri tani thonë se nuk ka shfrytëzim të konfirmuar në natyrë, dhe nuk ishte në të dhënat KEV të CISA më 28 tetor. Nuk dihet ende nëse serverat pa MPTCP mund të shfrytëzohen njëlloj, prandaj trajtojeni si punë “përditësoje së shpejti”, jo si panik.

Preket serveri juaj? Krahasim i shpejtë

Lista praktike për përditësimin e kernelit Linux

1. Listoni çfarë keni. Ekzekutoni uname -r në çdo server, përfshirë serverat e harruar të testimit dhe VPS-të nga projekte të vjetra.
2. Shikoni njoftimin e shpërndarjes suaj për paketën e saktë të kernelit të rregulluar. Mos u mbështetni vetëm te numrat e versioneve upstream, sepse shpërndarjet i bartin rregullimet nën numra të tyre. Ekipi i kernelit këshillon gjithashtu të mos zgjidhen rregullime të veçanta me dorë.
3. Kërkoni shenja kompromentimi para se të rinisni. Teknika e Fragnesia ndryshon vetëm kopjen në memorie të skedarëve, ndaj një rinisje mund të fshijë provat. Kontrolloni direktoritë e web-it për skedarë PHP të panjohur, shikoni hyrjet e fundit dhe ruani logjet para rinisjes.
4. Instaloni kernelin e ri dhe rinisni. Konfirmoni me uname -r pas rinisjes. Nëse ofruesi ka live patching, përdoreni, por planifikoni prapë rinisjen.
5. Nëse nuk mund ta përditësoni ende, Red Hat dhe Ubuntu dokumentojnë bllokimin e moduleve esp4 dhe esp6 për Fragnesia. Kjo prish IPsec, prandaj bëjeni vetëm nëse nuk përdorni VPN me IPsec. Çaktivizimi i user namespaces pa privilegje është një mundësi tjetër, që mund të prishë kontejnerët rootless.
6. Përditësoni edhe shtresën sipër. Kaloni PHP në 8.5.12, 8.4.27, 8.3.36 ose 8.2.35, dhe mbajeni PHP session upload progress të çaktivizuar deri në versionin e ardhshëm të rregullt.
7. Shënojeni. Regjistroni datën, versionin e kernelit dhe kush e përditësoi çdo server. Auditorët, siguruesit dhe klientët e kërkojnë gjithnjë e më shpesh.

Mësime për bizneset e vogla e të mesme

Shumica e thyerjeve të serverave të bizneseve të vogla nuk vijnë nga zero-day të sofistikuara. Vijnë nga defekte të njohura që qëndrojnë javë të tëra pa u përditësuar, zakonisht sepse askush nuk e ka këtë punë në dorë. Tre zakone e mbyllin pjesën më të madhe të hendekut:

• Caktoni një përgjegjës për përditësimet e serverave, me shkrim, me një zëvendësues.
• Përditësoni sipas orari (mujor, plus dritare emergjente për çdo gjë në listën KEV) në vend të “kur na kujtohet”.
• Mbani një kopje rezervë të testuar, që një përditësim i keq ose një kompromentim të jetë shqetësim, jo katastrofë. Shihni udhëzuesin tonë për kopjet rezervë të softuerit të biznesit.

Pyetje të shpeshta

Mund të shfrytëzohet në distancë kjo dobësi në kernelin Linux?

Fragnesia vetë jo. Fillimisht i duhet ekzekutim kodi lokal. Në praktikë ai merret shpesh përmes një defekti tjetër, si një aplikacion PHP i cenueshëm, prandaj po diskutohet bashkë me PHP2Shell. Defekti TCP në parim arrihet nga rrjeti, por nuk janë raportuar sulme.

Duhet ta rinis serverin pas përditësimit të kernelit?

Po, përveçse nëse përdorni një shërbim live patching që e mbulon atë rregullim. Derisa kerneli i ri të ekzekutohet, i vjetri i cenueshëm është ende në memorie.

E përditëson ofruesi i cloud-it ose hostimi i menaxhuar këtë për mua?

Platformat e menaxhuara shpesh përditësojnë hostin, por në një VPS ose server të dedikuar kerneli i mysafirit zakonisht është përgjegjësia juaj. Shikoni dokumentacionin e ofruesit në vend që ta supozoni.

CVE-2026-98432 është 9.8 apo 8.1?

Të dy numrat janë publikuar nga burime të besueshme. Dallimi pasqyron mospërputhje se sa e vështirë është të fitohet gara. Në çdo rast, zgjidhja është e njëjtë: instaloni kernelin e përditësuar të shpërndarjes suaj kur të dalë.

Keni nevojë për një palë sy të dytë mbi serverat tuaj?

Në Shkulaku ndërtojmë dhe mirëmbajmë softuer me porosi, sisteme WordPress e PHP dhe serverat ku ato punojnë. Shërbimi ynë i mirëmbajtjes përfshin përditësime, monitorim dhe reagim ndaj incidenteve, që dikush që e njeh tashmë sistemin tuaj të jetë gati kur del njoftimi i radhës. Nëse doni një kontroll të shpejtë të serverave ose një plan përditësimi, na kontaktoni dhe na thoni çfarë përdorni.

Burimet: The Hacker News: Linux kernel TCP flaw with 9.8 CVSS, Rescana: Fragnesia CVE-2026-46300 in CISA KEV. Detajet mund të ndryshojnë ndërsa shitësit përditësojnë njoftimet; konfirmoni gjithmonë me njoftimin e sigurisë të shpërndarjes suaj.