AI анх удаа Linux цөмийн түвшний Remote Root exploit бичлээ: CVE-2026-98432 цоорхой серверийн ертөнцийг түргэн авахуулав

Сүүлийн өдрүүдэд кибер аюулгүй байдал болон хиймэл оюуны салбарынхныг зэрэг цочроосон томоохон үйл явдал боллоо. Linux цөмийн (kernel) сүлжээний кодоос ямар нэг нэвтрэх эрх шаардахгүйгээр (unauthenticated) алсаас серверийг бүрэн удирдах боломж олгодог CVE-2026-98432 дугаартай, CVSS 9.8 үнэлгээтэй ноцтой цоорхой илэрсэн бөгөөд сүүлийн 24 цагийн дотор дэлхийн томоохон үүлэн үйлчилгээ үзүүлэгчид болон дистрибюциуд яаралтай засвар хийж байна.

Гэхдээ энэ удаагийн дуулианы гол цөм нь зөвхөн цоорхой өөрөө биш, харин түүнийг ашиглах аюултай Proof-of-Concept (PoC) exploit-ийг Anthropic компанийн Claude хиймэл оюун бие даан зохион бүтээсэн явдал юм.

Сүлжээний стекийн гүн дэх 9.8 үнэлгээ: Чухам юу болов?

CVE-2026-98432 нь Linux үйлдлийн системийн IPv4 TCP холболт тогтоох (handshake) үе шатанд ажилладаг net/ipv4 дэд систем дэх Use-After-Free (UAF) эмзэг байдал юм. Энэхүү алдаа нь Linux kernel 4.4 хувилбараас хойших бүх хувилбаруудад оршин байжээ.

Асуудлын техникийн учир нь сервер TCP SYN хүсэлт хүлээн авч холболт үүсгэх үед санах ойн заагчийг (inet_opt) буруу чөлөөлөх уралдаант нөхцөл (race condition) үүсдэгтэй холбоотой. Тодруулбал:

Клиентээс дахин давтан илгээгдэх SYN пакетуудыг олон процессор (multi-core) зэрэг боловсруулах үед нэг урсгал нь санах ойг чөлөөлсөн (free) байхад өөр нэг процесс тухайн хаяг руу хандан унших боломж үүснэ.
Энэ нь серверийн аль ч хэрэглэгчийн application (Nginx, Node.js, Go сервис г.м.) сүлжээний холболтыг хүлээн авахаас ч өмнө буюу цөмийн түвшинд шууд биелэгддэг.

Энэхүү алдааг засварлах upstream patch хэдийгээр цөмд орсон боловч, дэлхийн нийт серверийн дийлэнхийг бүрдүүлдэг Ubuntu, Red Hat Enterprise Linux (RHEL) зэрэг системүүдэд албан ёсны багц бүрэн тарах амжаагүй байтал уг цоорхой олон нийтэд зарлагдав.

Цочроосон эргэлт: Claude хэрхэн Remote Root Exploit зохиов?

Хамгийн том шуурга тарьсан зүйл бол уг алдааг анх тайлагнасан судлаачдын баг болох Anthropic-ийн мэдэгдэл байлаа. Уламжлалт ойлголтоор race condition-д суурилсан kernel UAF алдааг бодитоор ашиглаж (weaponize) системд нэвтрэх нь маш хүнд, олон сарын туршилт шаарддаг нарийн ажил байдаг.

Гэтэл Anthropic-ийн судалгааны Claude загвар нь багахан удирдамж авсны дараа хоёр шатлалт, бүрэн ажиллагаатай exploit-ийг өөрөө кодлон угсарчээ:

1-р шат (KASLR Leak): Линуксийн санах ойн хамгаалалт болох KASLR (Kernel Address Space Layout Randomization)-ийг алсаас тойрохдоо UAF алдааг дахин дахин сэдрээж, цөмийн санах ойн заагчийг сүлжээний хариу пакетаар нэвчүүлэн авсан (Үүнд ердөө 48 минут зарцуулсан). Уралдаант нөхцөл амжилтгүй болсон ч сервер уналгүйгээр зөвхөн пакет тасардаг тул халдагч хязгааргүй олон удаа оролдох боломжтой байв.
2-р шат (Control-Flow Hijack & Root Execution): Илрүүлсэн хаягаа ашиглан цөмийн функцын callback заагчийг өөрийн payload-оор сольж, системийн хамгийн өндөр эрх бүхий Root түвшинд дурын shell команд ажиллуулжээ (Үүнд 5-хан минут шаардагдсан)!

Энэ нь хиймэл оюуны загвар зөвхөн код шалгах, аюулгүй байдлыг аудит хийх төдий биш, бодит дэлхийн хамгийн нарийн төвөгтэй цөмийн түвшний тэг өдрийн (zero-day) халдлагыг бүрэн бие даан гүйцэтгэх чадвартай болсныг практик дээр баталсан анхны бодит баримт болов.

Go хөгжүүлэгчид болон MPTCP-ийн гэнэтийн хамаарал

Anthropic-ийн туршилт дээр уг халдлага амжилттай болоход нэгэн чухал нөхцөл байсан нь сервер дээр Multipath TCP (MPTCP) listener ажиллаж байсан тохиолдол байв. MPTCP нь нэг холболтыг олон сүлжээний шугамаар зэрэг дамжуулах зориулалттай технологи юм.

Хэдийгээр ихэнх уламжлалт үйлдлийн системүүд үүнийг default тохиргоогоор унтраасан байдаг ч, сүүлийн үеийн экосистемд гэнэтийн эрсдэл бий болжээ: Go 1.24 хувилбараас эхлэн стандарт сүлжээний сан (net package) нь listening socket нээхдээ MPTCP-ийг анхдагчаар (by default) идэвхжүүлдэг болсон байна. Энэ нь сүүлийн үеийн Go хэлээр бичигдсэн микросервисүүд уг аюулд илүү ойрхон өртөх эрсдэлтэйг харуулж байгаа юм.

Үүлэн үйлчилгээний аварга компаниудын хариу үйлдэл

Энэхүү мэдээ тархсан даруйд серверийн зах зээл хөдөлгөөнд оров:

AWS: 10-р сарын 31-нд яаралтай аюулгүй байдлын мэдээлэл гаргаж, Amazon Linux 2 болон AL2023 цөмийн шинэчлэлтүүдийг шуурхай байршуулан хэрэглэгчдэд серверээ yum update kernel / dnf update kernel хийж reboot хийхийг анхааруулав.
Red Hat болон Ubuntu: Red Hat уг алдааг уралдаант нөхцөл үүсгэхэд төвөгтэй хэмээн эхэндээ 5.9 үнэлгээ өгч байсан боловч, AI-ийн бүтээсэн exploit-ийн үр дүнгээс үүдэн тэдний үнэлгээ хурц шүүмжлэлд өртөж байна. RHEL болон Ubuntu хэрэглэгчид албан ёсны патчийг хүлээх зуур KernelCare зэрэг системүүд шууд reboot-гүйгээр (livepatch) засах шийдлүүдийг тарааж байна.

Хөгжүүлэгчид болон DevOps инженерүүд яг одоо юу хийх ёстой вэ?

Хэрэв та өөрийн удирддаг бодит болон үүлэн серверүүд (EC2, Droplet, VPS) ажиллуулдаг бол дараах алхмуудыг нэн даруй авч хэрэгжүүлэхийг зөвлөж байна:

Цөмийн хувилбараа шалгах: Сервер дээрээ uname -r тушаалыг ажиллуулан ажиллаж буй цөмийн хувилбараа тодорхойл.
Яаралтай шинэчлэх: Өөрийн дистрибюцийн хамгийн сүүлийн үеийн цөмийн багцыг татаж аваад системээ дахин ачааллаарай (Жишээ нь: sudo apt update && sudo apt dist-upgrade эсвэл dnf update kernel).
MPTCP-ийг шалгах: Хэрэв патч одоогоор танай системд бэлэн болоогүй бол MPTCP-ийг идэвхгүй болгох (sysctl -w net.mptcp.enabled=0) тохиргоог шалгаж түр арга хэмжээ аваарай.
WAF болон Reverse Proxy-ийн цаана байршуулах: AWS ALB, Cloudflare эсвэл Load Balancer-ийн цаана байрладаг серверүүд интернэтээс түүхий TCP хүсэлт шууд хүлээн авдаггүй тул эрсдэл харьцангуй бага боловч дотоод сүлжээний халдлагаас сэргийлж цөмийг заавал шинэчлэх хэрэгтэй.

Дүгнэлт

CVE-2026-98432 нь зөвхөн сүлжээний нэгэн ноцтой алдаа биш, харин кибер аюулгүй байдлын шинэ эрин үе ирснийг зарласан түүхэн дохио боллоо. AI загварууд санах ойн цоорхойг илрүүлээд зогсохгүй, хэдэн арван минутын дотор бүрэн зэвсэг болгон хувиргах чадвартай болжээ. Ийм цаг үед "алдааг ашиглахад хүнд учраас патчлах гэж яарах шаардлагагүй" гэсэн хуучин стратеги бүрэн нуран унаж байгаа бөгөөд аюулгүй байдлын багууд ч хамгаалалтдаа хиймэл оюуны хурдыг ашиглахаас өөр сонголтгүй болж байна.

Эх сурвалж:

Anthropic Research: Discovering and exploiting vulnerabilities in critical, real-world software with Claude
The Hacker News: Linux Kernel TCP Flaw With 9.8 CVSS Score Affects Major Distributions
AWS Security Bulletins: CVE-2026-98432 - Linux kernel IPv4 TCP use-after-free Issue
NVD / Linux Kernel CVE Team Advisory (CVE-2026-98432)