Lightning Labs 在 lnd 中关闭 MPTCP 监听，封堵已演示的 Linux 提权路径

Lightning Labs 关闭 MPTCP 路径

Lightning Labs 于 10 月 30 日发布 lnd v0.21.6-beta 及回移版本 v0.20.7-beta。两个版本都默认关闭多路径 TCP 监听，封堵攻击者远程借 LND 获取 root 权限的已演示路径。Lightning Labs 称这一改动是缓解措施而非修复，并说只有打过补丁的内核才能彻底解决底层问题。

较新的 LND 版本用 Go 编写。只要内核支持该特性，它们就会在 peer、gRPC 和 REST 端口上以 MPTCP 监听。Olaoluwa Osuntokun 和 Lightning Labs 官方账号都建议升级。Peter Todd 当天更进一步：他建议在 Linux 上运行 LND 且开放端口的运营者先关停节点，等内核补丁或缓解措施到位再说。

扫描结果加剧紧迫感

Marcus Hutchins 在 10 月 30 日的扫描发现，约有 2102043 台服务器可通过 443 端口上的 MPTCP 访问。更深入的 TLS 扫描发现约 762774 台。Hutchins 认为较高的数字更接近真实情况，因为到达那段代码并不需要有效的 HTTP 请求。据 Cyber Security News 报道，这些数字只反映暴露面，不能证明内核未打补丁。

Hutchins 报告称，从 11 月 2 日起，住宅代理和位于俄罗斯的 VPN 服务器开始用 MPTCP 连接访问 443 端口。普通扫描器默认不使用 MPTCP，因此他强烈怀疑这些流量针对的是 CVE-2026-98432。

Go 安全团队表示，Go 1.24 及更高版本在内核允许时，会默认对监听套接字请求 MPTCP。该团队还警告，这个缺陷并不局限于 MPTCP，因此没有这些监听的系统也可能受影响。lnd 的更新封堵了经由 LND 的已演示路径。据 Bitcoin Magazine 报道，同一主机上的其他服务仍可经由这条 MPTCP 路径访问，除非在整台主机上关闭 MPTCP 或更新内核。Canonical 表示，仅关闭 MPTCP 不够，因为缺陷位于 IPv4 TCP 路径中。

底层缺陷

CVE-2026-98432 是内核 IPv4 TCP 握手代码中的释放后使用漏洞。Linux 内核自己的 CVE 团队给它打了 9.8 分（满分 10 分）。该缺陷自 Linux 4.4 起就存在，上游修复已在 10 月合入。

Anthropic 的 Frontier Red Team 于 10 月 27 日公布研究。研究显示，一个未发布的 Claude 模型写出了漏洞利用程序，可让没有任何凭据的远程攻击者在运行 MPTCP 监听的系统上以 root 身份执行命令。在实验室测试中，泄露内核地址用了 48 分钟，再花 5 分钟就拿到 root shell。竞态失败只会让握手失败，不会使机器崩溃，因此攻击者可以重试。Anthropic 称这是实验室测试，不是真实事件，且未公开该利用程序。

Red Hat 最初将该缺陷评为 Moderate，评分 5.9。Cyberkendra 在 10 月 30 日报道，其 CVE 页面随后给出 8.1 分，低于内核团队的 9.8；其 Bugzilla 条目将严重性列为 urgent，但没有发布新的严重性标签。The Hacker News 在 11 月的报道中说，Red Hat 已将评分提高到 9.8，并定为 Critical。

补丁状态

Red Hat 于 11 月 1 日发布 RHSA-2026:93414（RHEL 8）、RHSA-2026:93412（RHEL 9）和 RHSA-2026:93413（RHEL 10）。三者都需要重启。

Canonical 在 11 月 2 日表示，Ubuntu 22.04 LTS、24.04 LTS 和 26.04 LTS 的修复位于 -proposed 仓库。这是一个需要手动开启的测试通道，其中的软件包不会自动安装。Canonical 在把内核更新推送到常规通道之前，会在 2000 多台认证服务器和设备上测试。它没有给出发布日期。Canonical 表示：「Ubuntu 安全团队认为，安全更新是唯一合适的缓解措施。」

UmbrelOS 2.0.1 于 11 月 1 日为 x86 设备带上了内核修复。在尚无修复内核可用的 Raspberry Pi 上，它采用了阻断流量的缓解措施。目前没有人报告确认的野外利用，该缺陷也不在 CISA 的已知被利用漏洞目录中。

临时缓解措施

Red Hat 于 10 月 30 日发布了一条 nftables 规则，丢弃携带 IP 选项的入站 IPv4 TCP 数据包。该公司称它无法完全阻止利用，还可能破坏依赖 IPv4 选项的工作负载。该过滤器只对加载它的主机生效。CIQ 内核团队的一名成员在 oss-security 邮件列表中指出，同一主机上容器之间的流量可以绕过它。