补充一下昨天说的 Linux 内核漏洞 CVE-2026-98432。这个洞比我一开始以为的严重，自己有服务器的朋友建议今天就处理一下。可以把这个 X 丢给你的 Agent。 为什么严重： - 范围很大：Linux 4.4 以后的内核都受影响，基本等于所有还在用的 Linux 服务器。 - 不需要登录：只要服务器上有一个对外开放的 IPv4 TCP 端口，攻击者发几个特制的包就能打。可能的后果是内核崩溃、泄露内存，或者破坏内存。 - 已经有人做到远程执行代码：研究人员对开着 MPTCP 的机器演示过未授权远程代码执行。Ubuntu 默认是开着 MPTCP 的。 - 现在还没有补丁：截至今天，Ubuntu 22.04 / 24.04 / 26.04 的修复内核都还是“修复进行中”，装了最新内核也没用。AWS 公告说得很直接：只有升级内核并重启才算彻底修复。 我这边做了这几件事（裸金属和 VPS 一共 5 台）： 1. 先挡住入口 → 用 nftables 丢弃所有带 IP options 的 IPv4 TCP 包 → 正常流量几乎不会带 IP options，所以基本没有副作用 → 每台都实测过：带 options 的连接被拦下，普通 SSH 正常 2. 关掉 MPTCP → net.mptcp.enabled=0，写进 sysctl.d，重启后也生效 → 这一步只能减少被利用的条件，问题本身还在 3. 关掉不必要的公网端口 → 3 台 VPS 关掉公网 SSH 22，只走 Tailscale SSH → 基本上端口全部关闭 4. 等补丁 → 每天自动查一次 Ubuntu 的修复状态，一发布就提醒我升级重启 几个容易踩的坑： - 防火墙规则重启就没了。补丁出来之前别随手重启，重启了也换不上修复。 - 改 SSH 端口号对这个洞基本没用。漏洞在内核的 TCP 握手上，任何开着的端口都能当入口，扫一遍全端口也就几分钟。 - 关 22 之前先设好自动回滚。我的做法是先挂一个 5 分钟后自动重新放行的定时器，确认 Tailscale 能连上再取消，避免把自己锁在外面。 - 用 Coolify 的话，别把 Docker 内网访问本机 22 的放行也删了，不然部署会断。 - 80/443 这类业务端口必须开着，所以在补丁出来之前，真正起作用的还是第 1 步那条丢包规则。 参考： AWS 公告 Ubuntu 修复状态