CVE-2026-98432：Linux 内核严重漏洞已被热补丁修复，全程零宕机

Linux 内核的网络代码里冒出了一个严重漏洞。它的编号是 CVE-2026-98432，被内核自己的 CVE 团队评为 9.8 分（满分 10），影响的是 Linux 服务器用来接受新 TCP 连接的那段代码。换句话说，它就待在系统里几乎每一台对公网开放的服务器都要依赖的那个位置。而且，它已经在那儿待了大约十年。

如果你的网站托管在 SiteGround，你其实已经被保护了。我们的工程师写了一个定制的热补丁（live patch），并在这个漏洞上头条的当天，就把它推送到了全部服务器上。整个过程没有重启任何东西，你的网站自始至终都在线，而你什么都不需要做。

为什么我们动作这么快

这个漏洞可以被远程触发，任何人都行，而且不需要登录。像这样的 bug 不会安静太久：一旦细节公开，攻击者就会开始扫描那些还没打补丁的服务器。

大多数服务器打补丁的方式是很慢的。Linux 发行版得先构建、测试，再发布一个更新过的内核。然后每一台服务器都要重启，才能把这个新内核加载进来——而这会让那台机器上的所有网站、数据库和邮箱统统掉线。所以很多服务商会干脆等一个排好的维护窗口，在窗口到来之前，他们的服务器就一直暴露在外。截至本文写作时，几个主流发行版仍然没有发布修复过的内核。

我们把这一整套流程都跳过了。热补丁是在内核运行的时候、在内存里直接把它修好，所以我们既不用等发行版出补丁包，也不用重启任何东西。补丁打进去的整个过程中，你的网站、数据库、邮箱和 SSH 会话都在照常运行。今年五月我们也是这么干的——那次我们在 48 小时内修复了五个 Linux 内核漏洞，同样做到了零宕机。

目前官方确认的信息

关于 CVE-2026-98432，已经确认的细节有这些：

• 它是一个「释放后使用」（use-after-free）类型的 bug，出在内核里负责建立新的 IPv4 TCP 连接的那段代码。
• 它的 CVSS 评分是 9.8（严重级）：可以通过网络利用，不需要任何权限，也不需要用户交互。
• 它影响的内核版本可以一直追溯到 4.4，也就是 2016 年初发布的那个版本。
• 它已经在更新后的稳定版内核里被修复，包括 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56 和 7.2.10。

有些发行版在自己的安全公告里给这个漏洞打的分要低一些。不管怎样，我们都把它当成严重级来处理。公开的研究里还描述了一个针对某些服务器配置、确实能奏效的利用方式。这些细节我们就不在这里展开了，但它们是我们不去干等的又一个理由。

如果你自己运维 Linux 服务器

如果你在一台 VPS、一个云实例，或者你自己的硬件上管理 Linux，请去查一下你所用发行版针对 CVE-2026-98432 的安全公告。修复过的内核一出来就尽快装上，并安排好它所需要的重启；或者看看你发行版的热补丁服务是否覆盖了这个漏洞。请从任何一台会对公网开放连接的服务器开始处理，因为漏洞正是从那里能够被触及的。

至于托管在 SiteGround 上的网站，上面这些都不用你操心。修复已经生效，而你的网站从头到尾都没有掉过线。