Разработчики Xray выпустили экстренное обновление v26.10.31 из-за критической уязвимости в ядре Linux, которая позволяет удалённо захватить сервер с правами root без пароля. Опасность оказалась особенно высокой для сетевых приложений на Go, способных автоматически включать уязвимый механизм соединений.
Новая версия Xray-core отключает MPTCP по умолчанию, сокращая возможности для атаки. Разработчики призвали пользователей срочно обновить программу и само ядро Linux. Предыдущий выпуск v26.10.29 отозвали. При этом исправление Xray носит временный характер, поскольку настоящая причина проблемы находится не в приложении, а в сетевом коде операционной системы.
Речь идёт об уязвимости CVE-2026-98432 с оценкой 9,8 балла по шкале CVSS. Ошибка присутствует в ядре Linux начиная с версии 4.4 и затрагивает обработку входящих IPv4 TCP-соединений. При определённых условиях злоумышленник может отправить специально подготовленные сетевые пакеты и добиться выполнения произвольных команд с максимальными системными привилегиями. Доступ к учётной записи и участие администратора не требуются.
Практическую опасность проблемы продемонстрировала Anthropic. Исследователи компании использовали Claude для создания полноценной цепочки эксплуатации уязвимости. Экспериментальная модель, пока недоступная широкой публике, разработала эксплойт, который позволил удалённо выполнить команду с правами root на Linux-сервере, принимающем соединения Multipath TCP. По результатам эксперимента, на захват системы потребовалось около 53 минут.
Основой атаки стала ошибка класса use-after-free, при которой программа продолжает обращаться к области памяти после её освобождения. Уязвимость возникает из-за состояния гонки, когда несколько операций одновременно обрабатывают сетевые запросы и могут нарушить ожидаемый порядок работы ядра. Злоумышленник специально подбирает последовательность пакетов, чтобы вызвать подобную ситуацию.
Проблема проявляется при обработке повторных запросов на установление TCP-соединения. Один процессор может продолжать формировать ответ SYN-ACK, пока другой уже создаёт соединение и освобождает связанные с ним сетевые параметры. В результате первый процессор обращается к памяти, которая больше не принадлежит прежнему объекту. При удачном подборе условий ошибка позволяет не просто нарушить работу системы, но и изменить ход выполнения кода.
Разработанный Claude эксплойт использовал уязвимость в два этапа. Сначала атакующий заставлял ядро раскрыть адрес из собственной памяти, обходя защиту KASLR, которая усложняет эксплуатацию ошибок за счёт случайного размещения системного кода. На получение адреса ушло 48 минут. Затем программа повторно использовала ошибку, переписывала указатель на функцию и перенаправляла выполнение на подготовленную цепочку команд. Заключительный этап занял ещё пять минут.
Особенно неприятной особенностью CVE-2026-98432 стало поведение сервера при неудачной попытке. Проигранная гонка обычно прерывает лишь установление отдельного соединения, не вызывая аварийного завершения работы всей системы. Поэтому атакующий может многократно повторять запросы, пока не добьётся необходимого состояния памяти. В эксперименте Anthropic подобный подход позволил постепенно пройти несколько уровней защиты ядра.
Связь с Xray объясняется особенностями языка Go. Начиная с версии 1.24, стандартная сетевая библиотека автоматически включает поддержку MPTCP для серверных сокетов на совместимых системах Linux. Multipath TCP позволяет одному логическому соединению использовать несколько сетевых маршрутов одновременно. Например, технология помогает поддерживать связь при переходе между Wi-Fi и мобильной сетью. Однако администратор может не знать, что его сервер принимает подобные соединения.
Именно MPTCP использовался в опубликованной цепочке удалённого захвата сервера. Разработчики Go подтвердили, что уязвимость ядра не ограничивается расширением Multipath TCP. Ошибку способны вызывать и обычные TCP-соединения с определёнными параметрами IPv4. Пока неизвестно, существует ли столь же эффективный способ получить права root без MPTCP, но отсутствие публичного эксплойта не доказывает безопасность стандартного TCP.
Для владельцев Android-устройств с Xray разработчики также обозначили возможную угрозу. Риск возникает прежде всего в конфигурациях, где SOCKS- или HTTP-сервер приложения принимает входящие подключения из локальной сети. В подобном случае другие устройства получают доступ к сетевому обработчику. Однако наличие Xray на смартфоне само по себе не означает возможность удалённого захвата. Необходимы уязвимое ядро и подходящие условия эксплуатации.
Исправление CVE-2026-98432 уже включено в поддерживаемые ветки Linux. Команда безопасности ядра перечислила версии 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3. Однако исправления в исходном коде недостаточно. Производители дистрибутивов должны включить изменения в собственные пакеты, после чего администраторы смогут установить обновления.
Для Debian 12 исправленный пакет ядра доступен в версии 6.1.190-1, а для Debian 13 в версии 6.12.113-1. Red Hat подтвердила критическую опасность проблемы для RHEL 8, 9 и 10, а также систем на базе соответствующих ядер, включая OpenShift. Обновления для ряда затронутых продуктов ещё готовятся. При проверке безопасности необходимо учитывать исправления, которые поставщик мог перенести в более старую версию ядра без изменения основной ветки.
Amazon также выпустила исправления для Amazon Linux 2 и Amazon Linux 2023. Пользователям самостоятельно управляемых виртуальных машин EC2 и Lightsail рекомендовано обновить ядро и перезагрузить систему. Для некоторых управляемых облачных сервисов компания устанавливает исправления самостоятельно. Отдельно подчёркивается, что обновление программного обеспечения без перезапуска уязвимого ядра не обеспечивает полноценной защиты.
Если исправленный пакет пока недоступен, администраторы могут временно отключить MPTCP через параметр ядра net.mptcp.enabled=0. Для приложений на Go 1.24 и новее предусмотрена настройка GODEBUG=multipathtcp=0. Дополнительно можно ограничить доступ к TCP-службам доверенными адресами и отфильтровать входящие IPv4 TCP-пакеты с IP-опциями. Однако подобная фильтрация требует проверки совместимости с используемыми сетевыми приложениями.
Полноценным решением остаётся только исправление ядра Linux с последующей перезагрузкой либо применение подходящего исправления без перезапуска. Отключение MPTCP устраняет условия, необходимые для продемонстрированной Anthropic атаки, но не удаляет саму ошибку из сетевого стека. Администраторам Xray необходимо установить v26.10.31, проверить доступность своих серверов из недоверенных сетей и убедиться, что операционная система получила защиту от CVE-2026-98432.
По состоянию на 31 октября подтверждённых сообщений об эксплуатации уязвимости злоумышленниками в реальных атаках нет. Возможность удалённого получения прав root доказана исследователями в контролируемых условиях, но масштаб потенциально уязвимой инфраструктуры пока не установлен. Главный риск связан не только с Xray. Любой доступный по сети Linux-сервер с затронутым ядром требует проверки независимо от используемого приложения и наличия поддержки MPTCP.
