จากข่าวช่องโหว่ CVE-2026-98432 ใน Linux Kernel ลูกค้าที่ใช้ Linux VPS อาจสงสัยว่าเซิร์ฟเวอร์ของตนได้รับผลกระทบหรือไม่ และจำเป็นต้องอัปเดตทันทีหรือเปล่า คำตอบขึ้นอยู่กับ kernel ที่กำลังใช้งาน ไม่ใช่ชื่อระบบปฏิบัติการเพียงอย่างเดียว

สำหรับลูกค้าที่ใช้ CentOS 7 พร้อม kernel เดิมสาย 3.10 ไม่เข้าข่ายช่องโหว่นี้ ส่วน AlmaLinux 8 และ 9 มีแพตช์ใน repository ปกติแล้ว ขณะที่ Ubuntu ต้องตรวจสอบสถานะตามรุ่นและชนิดของ kernel

ช่องโหว่นี้คืออะไร?

CVE-2026-98432 เป็นปัญหาการจัดการหน่วยความจำระหว่างการเชื่อมต่อ IPv4 TCP ใน Linux Kernel ผู้โจมตีจากเครือข่ายอาจทำให้ระบบล่ม หน่วยความจำเสียหาย หรือรันโค้ดได้ภายใต้เงื่อนไขที่เหมาะสม Red Hat จัดระดับความรุนแรงเป็น Critical [1] (CVSS 9.8)

นี่เป็นช่องโหว่ระดับ kernel การอัปเดตเฉพาะเว็บไซต์ PHP หรือแผงควบคุมจึงไม่ใช่การแก้ไขจุดนี้

CentOS 7: kernel เดิม 3.10 ไม่เข้าข่ายช่องโหว่นี้

Red Hat ระบุว่า kernel ของ RHEL 7 ไม่มีโค้ดส่วนที่ทำให้เกิดช่องโหว่นี้ การประเมิน CentOS 7 ที่ใช้ kernel เดิมจากฐานเดียวกันจึงเป็นว่าไม่เข้าข่าย CVE นี้ [1]

ตรวจสอบ kernel ที่กำลังทำงานด้วยคำสั่ง:

uname -r

สำหรับ kernel เดิมของ CentOS 7 ผลลัพธ์จะมีรูปแบบ 3.10.0-....el7.x86_64 แต่หากเคยติดตั้ง ELRepo, kernel-lt, kernel-ml หรือ custom kernel ต้องตรวจสอบกับผู้จัดทำ kernel นั้นแยกต่างหาก ไม่ควรใช้ข้อสรุปของ kernel เดิมกับเครื่องที่เปลี่ยน kernel แล้ว

คำว่า “ไม่เข้าข่าย” ในบทความนี้หมายถึง CVE-2026-98432 เท่านั้น ไม่ใช่การรับรองความปลอดภัยจากช่องโหว่อื่นทั้งหมด

AlmaLinux 8 และ 9: อัปเดตผ่าน yum ได้ตามปกติ

AlmaLinux ประกาศนำแพตช์เข้าสู่ repository ปกติตั้งแต่วันที่ 2 พฤศจิกายน 2569 ไม่จำเป็นต้องเปิด testing repository โดย kernel ที่มีการแก้ไขเริ่มจากรุ่นต่อไปนี้ หรือรุ่นใหม่กว่าในสายที่เกี่ยวข้อง [2]

ก่อนดำเนินการ ควรมีข้อมูลสำรองล่าสุดและกำหนดช่วงเวลาที่สามารถหยุดบริการเพื่อรีบูต จากนั้นอัปเดตด้วย:

sudo yum clean metadata
sudo yum update

บน AlmaLinux 8/9 สามารถใช้ dnf upgrade ได้เช่นกัน ให้ตรวจสอบว่าการอัปเดตสำเร็จและมี kernel รุ่นที่แก้ไขแล้วติดตั้งอยู่ หาก repository มีข้อผิดพลาดหรือมีการยกเว้นแพ็กเกจ kernel ต้องแก้ไขเงื่อนไขนั้นก่อน

เมื่อพร้อมหยุดบริการชั่วคราว ให้รีบูต:

sudo reboot

หลังเซิร์ฟเวอร์กลับมา ให้ตรวจสอบอีกครั้ง:

uname -r

การติดตั้งแพ็กเกจ kernel ใหม่อย่างเดียวไม่ได้เปลี่ยน kernel ที่กำลังทำงาน ต้องตรวจสอบหลังรีบูตว่าเครื่องใช้รุ่นที่มีแพตช์แล้ว [2]

Ubuntu: ตรวจสอบรุ่นก่อน และติดตามแพตช์ช่องทางปกติ

ณ วันที่ตรวจสอบ Canonical มีแพตช์ของ Ubuntu 22.04 LTS, 24.04 LTS และ 26.04 LTS ในช่องทาง -proposed ซึ่งอยู่ระหว่างทดสอบก่อนเผยแพร่ตามปกติ ส่วนแพ็กเกจ linux หลักของ Ubuntu 20.04, 18.04 และ 16.04 ยังแสดงสถานะ Vulnerable [3][4]

สำหรับเครื่องใช้งานจริงที่ยังไม่มีแพตช์ในช่องทางปกติ ควรติดตามประกาศของ Canonical และอัปเดตเมื่อแพตช์ของ kernel ที่ใช้งานพร้อมให้ติดตั้ง การใช้แพ็กเกจจาก -proposed ควรผ่านการทดสอบความเข้ากันได้ก่อน

อย่าใช้เลขเวอร์ชัน Ubuntu เพียงอย่างเดียวในการตัดสิน เพราะ kernel แบบ generic, HWE, AWS, Azure และ GCP อาจได้รับแพตช์คนละช่วงเวลา รุ่นเก่าบางรุ่นยังขึ้นกับสิทธิ์บริการสนับสนุนด้วย สำหรับ Ubuntu 26.10 ข้อมูลระหว่างบล็อกและ CVE tracker ยังไม่ตรงกัน จึงควรตรวจสอบแพ็กเกจจริงก่อนสรุปว่าแก้ไขแล้ว [3][4]

ระหว่างรอแพตช์ ให้ผู้ดูแลทบทวนบริการที่เปิดรับจากอินเทอร์เน็ต และจำกัดพอร์ตที่ไม่จำเป็น มาตรการลดความเสี่ยงไม่สามารถทดแทนการติดตั้ง kernel ที่แก้ไขแล้วได้ การปิด MPTCP เพียงอย่างเดียวก็ไม่ใช่หลักฐานว่าแก้ช่องโหว่นี้ครบถ้วน [3]

ไม่แน่ใจว่าเครื่องของคุณต้องอัปเดตหรือไม่?

ตรวจสอบข้อมูลด้วยสองคำสั่งนี้:

cat /etc/os-release
uname -r

สถานะแพตช์อาจเปลี่ยนแปลงหลังวันที่เผยแพร่ ควรตรวจสอบประกาศของผู้พัฒนาประกอบก่อนดำเนินการครับ

แหล่งอ้างอิง

1. Red Hat: CVE-2026-98432 และสถานะ kernel ของ RHEL 7
2. AlmaLinux: CVE-2026-98432 — Patched kernels released
3. Canonical: Fixes available in -proposed pocket
4. Ubuntu: CVE-2026-98432 status tracker

The post CVE-2026-98432: ลูกค้า CentOS 7, AlmaLinux และ Ubuntu ต้องทำอย่างไร? appeared first on PhalconHost Blog.