Ubuntu kernel CVE-2026-98432 เสี่ยง RCE เร่งแพตช์และรีบูต

พอดีเห็น Ubuntu เพิ่มประกาศ kernel วันที่ 11 พ.ย. 2026 สำหรับ Azure CVM และกลุ่ม NVIDIA ผมเลยรวมรายการที่ต้องตรวจไว้ ตัวหลักคือ CVE-2026-98432 ซึ่งเสี่ยง remote code execution ผ่าน IPv4 TCP ส่วน OpenEXR และ uutils มีเงื่อนไขที่ต้องตรวจแยกกัน

ตารางอ้างอิงจากหน้ารวม Ubuntu อ่านชุด kernel วันที่ 10 พ.ย. และชุด NVIDIA ก่อนหน้า ประกอบได้

บั๊ก IPv4 TCP เสี่ยงรันโค้ดจากระยะไกล

CVE-2026-98432 เป็น use-after-free ระหว่างสร้างการเชื่อมต่อ TCP หน่วยความจำของ IP options ถูกคืนทั้งที่อีก CPU ยังใช้สร้าง SYNACK อยู่ แพตช์ให้รอจนไม่มีส่วนอื่นอ่านข้อมูลนั้นแล้วค่อยคืนหน่วยความจำ

Ubuntu ให้ priority Critical และ CVSS 3.1 = 9.8 ด้วย vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H หมายถึงโจมตีผ่านเครือข่ายได้ ไม่ต้องมีสิทธิ์ในระบบและไม่ต้องให้ผู้ใช้ช่วย ผลกระทบต่อข้อมูลและการทำงานของระบบอยู่ระดับสูง คะแนนนี้ไม่ได้บอกว่ามีการโจมตีจริงแล้ว

CVE-2026-98239 เป็น use-after-free ในไดรเวอร์ lan743x เมื่อแพ็กเก็ตหนึ่งใช้หลาย buffer ต้องตรวจว่าใช้ฮาร์ดแวร์ที่เกี่ยวข้องหรือไม่ อีกตัวคือ CVE-2026-97981 ในไดรเวอร์ Cortina Ethernet ที่ไม่นับเฟรมเสียในโควตางานรับข้อมูล ผมแสดงแต่ละ CVE ครั้งเดียว ไม่บวกยอดซ้ำจากหลาย USN

รุ่นที่แก้ต้องจับคู่กับ release และ flavor

ตารางนี้เป็น สถานะ CVE-2026-98432 จาก Ubuntu tracker เลขรุ่น source package ไม่เหมือนค่าจาก uname -r ต้องดูชื่อแพ็กเกจประกอบด้วย

azure-fde ใช้กับ CVM หน้ารวม Ubuntu ระบุว่ามีประกาศแก้แล้ว แต่ tracker บางสายยังขึ้น Vulnerable / work in progress ข้อมูลสองส่วนนี้ยังไม่ตรงกัน ตารางนี้เลยคงสถานะตาม tracker ผมเปิดหน้า HTML รายละเอียด USN ไม่ได้ ต้องตรวจเลขรุ่นแก้ในประกาศให้ตรงกับแพ็กเกจที่ APT จะติดตั้ง

OpenEXR สำหรับเครื่องที่รับหรือแปลงไฟล์ EXR

DSA-6618-1 ครอบคลุม 26 CVE ไฟล์ภาพที่สร้างมาให้ผิดรูปอาจทำให้บริการหยุด หรืออ่านและเขียนหน่วยความจำนอกพื้นที่ที่จองไว้ Debian trixie แก้ใน 3.2.12-1~deb13u1 แพ็กเกจ runtime ยังชื่อ libopenexr-3-1-30

รายการตาม DSA คือ CVE-2026-27622, CVE-2026-34379, CVE-2026-34380, CVE-2026-34543, CVE-2026-34544, CVE-2026-34588, CVE-2026-34589, CVE-2026-40244, CVE-2026-40250, CVE-2026-41142, CVE-2026-42216, CVE-2026-42217, CVE-2026-54920, CVE-2026-55059, CVE-2026-55373, CVE-2026-59183, CVE-2026-59184, CVE-2026-59186, CVE-2026-59189, CVE-2026-59981, CVE-2026-59982, CVE-2026-59983, CVE-2026-59984, CVE-2026-59985, CVE-2026-61555 และ CVE-2026-68515

CVE-2026-34589 ตาม upstream เกิดในตัวถอดรหัส DWA การคำนวณตำแหน่ง buffer ทำให้จำนวนเต็มล้น แล้วเขียนหน่วยความจำนอกพื้นที่ที่จองไว้ upstream ทดสอบแล้วพบว่าโปรแกรมล่ม ให้ CVSS 4.0 = 8.4 High กับ vector CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N vector ระบุ Local และต้องมี user interaction แบบ Active แหล่งนี้ไม่ได้ยืนยัน unauthenticated RCE

ตรวจว่าขั้นอัปโหลดหรือสร้าง thumbnail เรียก OpenEXR หรือไม่ ตรวจ worker และ container ด้วย ระหว่างรอแพตช์ ผมแนะนำให้หยุดรับงานประมวลผล EXR ชั่วคราว การกรองนามสกุลอย่างเดียวใช้แทนแพตช์ไม่ได้

# สำหรับ Debian trixie ที่ติดตั้งแพ็กเกจนี้อยู่แล้ว
dpkg-query -W -f='${binary:Package}\t${Version}\t${db:Status-Status}\n' 'libopenexr*' openexr
sudo apt update
apt-cache policy libopenexr-3-1-30
# ตรวจว่า Candidate เป็น 3.2.12-1~deb13u1 หรือใหม่กว่าก่อนติดตั้ง
sudo apt install --only-upgrade libopenexr-3-1-30
# ถ้าติดตั้ง needrestart อยู่แล้ว ให้แสดงรายการก่อนเลือกเริ่มบริการใหม่
sudo needrestart -r l

อัปเดตแพ็กเกจ OpenEXR อื่นที่ติดตั้งด้วย แล้วเริ่มโปรเซสที่ใช้ไลบรารีเก่าใหม่ needrestart -r l แสดงรายการอย่างเดียว ส่วนหน้า CVE รายตัว แยกไว้ชัดเจนว่า trixie รุ่น 3.1.13-2 ยัง vulnerable แต่ trixie (security) รุ่น 3.2.12-1~deb13u1 fixed ข้อมูลนี้ตรงกับ DSA

uutils ต้องเช็กตัวคำสั่งและสิทธิ์ไฟล์

USN-9041-1 เป็น rust-coreutils หรือ uutils ต้องตรวจแยกจาก GNU coreutils ตัวอย่างที่ยืนยันได้คือ

• CVE-2026-93658: install อาจทิ้งไฟล์ setuid/setgid หากเปลี่ยนเจ้าของล้มเหลว upstream ทดสอบแล้วพบว่ายกระดับสิทธิ์ได้เมื่อ root ไม่มี CAP_CHOWN ผู้โจมตีต้องเข้าถึงไฟล์ที่เหลือ และระบบต้องยอมให้ใช้ setuid ด้วย
• CVE-2026-35341: mkfifo สร้างไม่สำเร็จแต่ยังเปลี่ยน permission ของไฟล์เดิม อาจเปิดข้อมูลลับ
• CVE-2026-35344: dd ไม่รายงานข้อผิดพลาดตอน truncate ไฟล์ เลยอาจรายงานว่าสำเร็จทั้งที่ข้อมูลผิด
• CVE-2026-35363: rm ไม่รู้จักเส้นทาง directory ปัจจุบันที่ลงท้ายด้วย slash เลยอาจลบข้อมูลข้างในได้ทั้งที่มีระบบป้องกัน

ข้อมูล Ubuntu ยังไม่ตรงกัน: USN-9041-1 ใน CVE JSON ระบุรุ่นแก้บน 26.04 LTS เป็น 0.10.0-1ubuntu2~26.04.1 ใน security pocket และรวมทั้งสี่ CVE ข้างต้น แต่สถานะ CVE กลุ่ม 353xx ยังขึ้น Vulnerable หมายเหตุยังบอกว่ารุ่นนี้อยู่เฉพาะ resolute-updates ส่วน CVE-2026-93658 ยังขึ้น Needs evaluation ผมอ้างรุ่นแก้ตาม USN และแนะนำให้ตรวจ candidate ใน APT ก่อนติดตั้ง

หน้า upstream ของ CVE-2026-93658 ยังระบุ Patched versions ว่า None ขณะที่ Ubuntu ระบุว่ากระทบรุ่นก่อน 0.10.0 และมีแพ็กเกจแก้ตาม USN ข้างต้น

dpkg-query -W -f='${binary:Package}\t${Version}\t${db:Status-Status}\n' rust-coreutils coreutils
apt-cache policy rust-coreutils
type -a install mkfifo dd rm
install --version
dpkg-query -L rust-coreutils
# เมื่อยืนยัน candidate ตามประกาศแล้ว
sudo apt install --only-upgrade rust-coreutils

ตรวจ PATH, alias และ binary ที่สคริปต์เรียกด้วย แพตช์ไม่คืนสิทธิ์ไฟล์เดิมและไม่กู้ข้อมูลที่เสียไปแล้ว ต้องตรวจสิทธิ์และทดสอบข้อมูลสำรองเพิ่ม

อัปเดต kernel แล้วตรวจรุ่นที่กำลังรัน

ตรวจ release, architecture และ image ด้วย dpkg-query นับเฉพาะแถว installed

cat /etc/os-release
dpkg --print-architecture
uname -r
uname -v
dpkg-query -W -f='${binary:Package}\t${Version}\t${db:Status-Status}\n' 'linux-image*'
apt-mark showhold

1. จับคู่สาย ตรวจ release, architecture, flavor และ metapackage
2. เตรียมรอบหยุด ตรวจทางกู้บูตและโมดูลที่ต้องใช้
3. ติดตั้งแพตช์ อ่านรายการอัปเดตก่อนยืนยัน
4. รีบูตและตรวจ เทียบ kernel ที่รันกับ image ใหม่แล้วทดสอบบริการ

sudo apt update
sudo apt -s upgrade
# อ่านรายการก่อน และตรวจว่า kernel metapackage ได้อัปเดตด้วย
sudo apt upgrade
if command -v dkms >/dev/null 2>&1; then dkms status; fi
# เมื่อโมดูลและรอบหยุดบริการพร้อมแล้ว
sudo reboot

Ubuntu ให้รีบูตหลังลง kernel บทความที่ปรับปรุงวันที่ 9 พ.ย. ระบุว่าไม่ต้องเปิด proposed แล้ว แต่ยังต้องตรวจ flavor หลังบูตให้รันชุดตรวจเดิม แล้วเทียบ uname -r และ uname -v กับแพ็กเกจใหม่

เช็กสัญญาณผิดปกติและจัดลำดับงาน

แหล่งที่ผมเปิดตรวจไม่ได้ให้ชุด IOC สำหรับยืนยันการโจมตี อาการอย่าง kernel Oops/panic, worker ล่มหลังรับภาพ หรือสิทธิ์ไฟล์เปลี่ยนผิดคาด ใช้เป็นเบาะแสได้ แต่อาการเหล่านี้มีสาเหตุอื่นได้ด้วย ให้เก็บ log และไฟล์ต้นเหตุไว้ตรวจต่อ

# อ่าน log ประกอบการตรวจ ไม่ใช่ตัวตรวจ exploit
sudo journalctl -k -b --no-pager | grep -Ei 'oops|panic|use-after-free|general protection fault'
sudo journalctl -k -b -1 --no-pager
systemctl --failed

CVE-2026-98432, CVE-2026-98239, CVE-2026-34589 และ CVE-2026-93658 ยังไม่อยู่ใน KEV ฉบับ 10 พ.ย. 2026 เลยไม่มี dateAdded หรือ dueDate ของทั้งสี่รายการในฉบับนั้น การไม่อยู่ใน KEV ไม่ได้แปลว่าไม่มีการโจมตี Ubuntu กล่าวถึง exploit TCP ที่ยังไม่เผยแพร่ ข้อความนี้ไม่ได้ยืนยันว่ามีการนำไปโจมตีจริง

ถ้าต้องจัดลำดับงาน ผมแนะนำให้เร่งแพตช์และรีบูต Ubuntu ที่รับการเชื่อมต่อภายนอก รวมถึงอัปเดตเครื่องที่รับ EXR จากผู้ใช้ ส่วน uutils ให้เริ่มจากงานที่เรียกด้วยสิทธิ์สูงและงานสำรองข้อมูล

ที่มา: Ubuntu Security Notices, Ubuntu TCP advisory, Debian DSA-6618-1, OpenEXR upstream, uutils upstream, CISA KEV และต้นทางที่ลิงก์ในเนื้อหา ตรวจข้อมูลถึง 11 พ.ย. 2026 โดย KEV เป็นฉบับ 10 พ.ย. 2026 ตาราง kernel อ้างสถานะจาก CVE tracker ส่วนรุ่นแก้ uutils อ้างข้อมูล USN ใน CVE JSON เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ