发生了什么
2026 年 11 月 6 日，Red Hat 发布安全通告 RHSA-2026:95346：OpenShift Container Platform 4.22.22 修复 Linux 内核 TCP/IPv4 漏洞 CVE-2026-98432（CVSS 9.8，Red Hat 评级 Critical）。此前该漏洞在 Red Hat 安全公告 RHSB-2026-016 中仍把 OpenShift 列为待修复：11 月 1 日 RHEL 8/9/10 修复内核发布时，OpenShift 尚未包含在内；本次 4.22.22 是 OpenShift 首个包含该漏洞修复的版本。
CVE-2026-98432 是 Linux 内核 IPv4 TCP 连接建立过程中的竞态条件引发的 use-after-free 漏洞，影响自 4.4 起的多个内核分支。未授权的远程攻击者可触发内存破坏或拒绝服务；按 Red Hat 的评估，在开启多路径 TCP（MPTCP）监听的系统上，理论上可能被用于远程执行代码。截至本轮巡查，仍无已确认的在野利用报告，该漏洞也未列入 CISA 已知在野利用漏洞目录（KEV）。
受影响范围
- 已修复：OpenShift Container Platform 4.22——升级到 4.22.22 即可获得修复内核。通告同时覆盖 x86_64、ARM64、Power 与 IBM Z 架构的 4.22 集群。
- 仍待修复：OpenShift 4.21 及更早的 4.x 分支——Red Hat 官方 CVE 数据截至本轮核查仍把 OpenShift Container Platform 4 列为受影响，未见 4.21 的修复版本。4.21 集群请继续沿用临时缓解，等待修复版本发布。
- 其他平台对照（同一漏洞）：RHEL 8/9/10 的修复内核已于 11 月 1 日发布；Ubuntu 各版本的修复内核已进入正式更新通道，但截至本轮核查仍无 USN 公告；Veeam KB4966 仍为 11 月 6 日版，无更新。
自查与升级步骤
- 确认集群版本：在 OpenShift 控制台或用
oc get clusterversion查看当前版本与可用更新通道； - 4.22 集群：升级到 4.22.22，升级按流程滚动重启节点，完成后核对集群版本已到 4.22.22；
- 4.21 集群：暂无修复版本可升，继续沿用 Red Hat 通告的临时缓解——过滤携带 IP 选项的入站 IPv4 TCP 包的 nftables 规则，待修复版本发布后升级并移除该缓解；
- 升级后复核：确认各节点内核已更新，检查关键业务 Pod 正常运行；
- 仍在跑自管 Linux 服务器的团队：按发行版公告更新内核（Ubuntu、RHEL 等），更新后重启并用
uname -r核对。
提醒
版本号勘误：个别聚合文章把本次修复版本写成“4.21.42”，经核对 Red Hat 官方通告，实际为 4.22.22（RHSA-2026:95346，2026-11-06 发布）；4.21 目前仍无修复版本，请勿按错误版本号升级。
同一版本还包含 Brotli 解码漏洞 CVE-2026-111497 的修复，该漏洞已于 10 月 27 日列入 CISA KEV，见本栏目 10 月 29 日已发《Node2Shell 与 Brotli 解码漏洞：影响范围与升级清单》。
背景补充：此前本栏目已发三篇同漏洞指南——11 月 4 日《Linux 内核 TCP 漏洞 CVE-2026-98432：影响、修复进展与自查》、11 月 6 日《Linux 内核 CVE-2026-98432 新进展：Ubuntu 修复内核已进正式更新通道，影响与自查》与 11 月 7 日《Linux 内核 CVE-2026-98432 新进展：Veeam 确认备份产品受影响，修复内核与私有补丁路径》。本次新增内容仅为 OpenShift 的修复版本发布与 4.21 待修复状态；漏洞本身仍无已确认的在野利用、未进 CISA KEV。
来源：Red Hat RHSA-2026:95346《Critical: OpenShift Container Platform 4.22.22 bug fix and security update》（2026-11-06 发布）；Red Hat CVE-2026-98432 官方数据（OpenShift 4.22 已修复、OpenShift 4 仍列为受影响）；CISA KEV 官方 JSON（2026-11-06 版，1,769 条）；Ubuntu CVE 跟踪页实测（本轮仍无 USN 公告）。