新进展概述
2026 年 11 月 11 日，Ubuntu 针对 Linux 内核 TCP 漏洞 CVE-2026-98432 新增两份安全公告：USN-9039-1（Azure 机密虚拟机内核）与 USN-9040-1（低延迟 NVIDIA 内核）。该漏洞在 Ubuntu CVE 跟踪页的关联公告由此前的 10 份增至 12 份，补齐了此前尚未覆盖的两个内核分支。
CVE-2026-98432 是 Linux 内核 IPv4 TCP 握手过程中的竞态条件导致的释放后重用（use-after-free）漏洞，CVSS 3.1 评分为 9.8，未认证的远程攻击者可通过特制 TCP 连接触发，影响自 4.4 起的多个内核版本。上游修复已进入各长期维护内核，Ubuntu 正在按内核分支分批发布修复。
本次新增的两份公告
| 公告 | 内核分支 | 适用版本 | 修复内核号 |
|---|---|---|---|
| USN-9039-1 | Azure 机密虚拟机内核（linux-azure-fde） | 24.04 LTS | 6.8.0-1071.78 |
| USN-9039-1 | Azure 机密虚拟机内核（linux-azure-fde） | 26.04 LTS | 7.0.0-1019.19 |
| USN-9039-1 | Azure 机密虚拟机内核（linux-azure-fde） | 26.10 | 7.3.0-1004.5 |
| USN-9040-1 | 低延迟 NVIDIA 内核（linux-nvidia-lowlatency） | 24.04 LTS | 6.8.0-1067.70.1 |
其中 24.04 LTS 的两个修复内核号已在 Ubuntu 归档正式更新通道（-updates）核实，26.04 LTS 与 26.10 的 Azure 机密虚拟机修复内核已在安全更新通道（-security）核实。低延迟 NVIDIA 内核仅 24.04 LTS 提供。此前 11 月 10 日发布的 10 份公告已覆盖通用内核及 AWS、Azure、GCP、Oracle、IBM、树莓派等云与硬件内核分支。
说明：Ubuntu 安全公告原文服务在本轮核查时短暂不可用（公告页返回服务端错误），本文的公告编号、标题与发布日期以 Ubuntu CVE-2026-98432 跟踪页为准，修复内核号以 Ubuntu 归档正式通道核实为准。
自查与升级步骤
1. 确认是否运行受影响的内核分支：在 Azure 机密虚拟机（CVM）上运行 uname -r，若内核名包含 azure-fde；在使用低延迟 NVIDIA 内核的 24.04 LTS 主机上，内核名包含 nvidia-lowlatency。通用内核与其它云内核用户不受这两份公告影响，应以 11 月 10 日的 10 份公告为准。
2. 检查已安装的内核版本：运行 apt list --installed 'linux-image-*-azure-fde' 'linux-image-*-nvidia-lowlatency'，对照上表确认是否已达到修复内核号。
3. 升级并重启：运行 sudo apt update && sudo apt upgrade 安装修复内核，随后重启主机使新内核生效，重启后再次运行 uname -r 确认版本号。
4. 机密虚拟机用户注意：Azure CVM 内核更新后，如主机使用第三方内核模块，需按以往做法重新编译安装；更新前建议先做快照或确认回滚方案。
仍待修复的情况
20.04 LTS 通用内核（5.4.0-247.267）、18.04 LTS 与 16.04 ESM 的修复仍在等待中，Ubuntu 跟踪页仍标注为待修复。截至本轮核查，CVE-2026-98432 仍无已确认的在野利用报告，也未列入 CISA 已知被利用漏洞目录（KEV）。
建议：运行 Azure 机密虚拟机或低延迟 NVIDIA 内核的 24.04 / 26.04 / 26.10 用户尽快按上表升级并重启；20.04 及更早版本用户在修复发布前，继续保持系统安全更新开启，并关注后续公告。