一句话先说清：9.8 分的内核漏洞，但要分清演示与实战
Linux 内核 IPv4 TCP 漏洞 CVE-2026-98432 是一个 use-after-free 漏洞：TCP 握手时，请求套接字的 IP 选项没有复制到新套接字，另一个 CPU 处理重传 SYN 时可能读到已释放的内存。影响从 4.4 起的内核。内核 CVE 团队给了 9.8 分，红帽最初给了 5.9（理由是竞态很难触发），随后也改成了严重 9.8。本文只讲防御：影响范围、修复进展与自查步骤，不涉及任何利用细节。
Anthropic 的演示意味着什么、不意味着什么
引起关注的是 Anthropic 的披露：一个未公开的 Claude 研究模型写出了利用代码，在一台开了 MPTCP 监听的 Linux 服务器上绕过 KASLR、约 53 分钟拿到 root shell。但要划清界限：目前公开演示出远程代码执行的只是 MPTCP 监听场景，普通 TCP 理论上也受影响，但还没公开演示出远程代码执行。截至 11 月 2 日的核查，仍没有确认的在野利用，也没进 CISA KEV。同期有人扫描 443 端口的 MPTCP 可达性（一次扫描发现约 210 万台服务器可达），但那只是“可达”，不是确认存在漏洞，更不是确认被利用。
修复进展（截至 2026 年 11 月 4 日）
上游已修复并回溯。Debian 12 修在 6.1.190-1，Debian 13 修在 6.12.113-1；Oracle、Amazon、SUSE 是部分修复。RHEL 已在 11 月 1 日出修复：RHEL 8 是 kernel-4.18.0-553.182.1.el8_10（RHSA-2026:93414），RHEL 9 是 kernel-5.14.0-687.64.1.el9_8（RHSA-2026:93412），RHEL 10 是 kernel-6.12.0-211.72.1.el10_2（RHSA-2026:93413），打完补丁要重启才生效。Ubuntu 方面：22.04、24.04、26.04 的修复内核只在 -proposed 测试通道里（分别为 5.15.0-203.213、6.8.0-149.149、7.0.0-43.43），还没进普通更新与安全通道，也没有 Ubuntu 安全公告（USN）；正常 apt update 目前仍然拿不到修复，想提前用必须手动 opt-in -proposed，打完还要重启。26.10 的口径目前不一致，不下定论；20.04 及更早目前还没有修复。
没补丁之前的临时缓解
只放行可信网络与 IP，或者用 nftables 丢弃携带 IP 选项的 IPv4 TCP 包。特别提醒一句：只关 MPTCP 是不够的。
自查清单
- 先确认内核版本：用 uname -r 对照上文，看所在发行版是否已有修复。
- 再确认暴露面：服务器是否开了 MPTCP 监听，或跑着 Go 1.24 以上默认开 MPTCP 的网络服务，这类最优先处理。
- 没补丁的先上临时缓解：可信网络白名单，或 nftables 丢弃带 IP 选项的 IPv4 TCP 包。
- RHEL 用户打完补丁务必重启，否则修复不生效；Ubuntu 用户不要误以为 apt update 已经拿到修复，先确认通道。
- 托管用户注意：托管建站与云平台一般由平台统一修复，到平台公告里确认状态即可。
最后澄清一个常见误读：这个漏洞目前没有 KEV 期限，也没有确认的在野利用；但 9.8 分与公开演示的存在，意味着自有 Linux 服务器应当按发行版公告尽快升级，而不是等到利用出现。