就在这个周末，好几个站长在群里问：听说Linux内核TCP又出大洞，真能远程执行代码？别慌，能修。但得抓紧，因为AI已经写出利用程序了。
据公开报道，10月底浮出水面的CVE-2026-98432，CVSS评分9.8，问题出在Linux内核处理IPv4 TCP连接的代码里。攻击者可以发送特制的数据包，无需认证就在你的服务器上运行任意代码——这意味着网站被篡改、数据库被拖走、服务器被拿去当肉鸡，只要开了IPv4 TCP服务（比如Web、SSH），风险就是实打实的。
更要命的是，AI模型公司Anthropic披露它的Claude已经编写出了利用这个漏洞的程序；几乎同一时间，OpenAI发布的GPT-6 Cyber也针对Linux内核的948个漏洞开发了可运行的攻击代码。漏洞武器化的速度，比以往快得多。
一个TCP包就能远程控制？是的，你没看错
这次漏洞的利用门槛并不高。攻击者只要能与你的服务器建立TCP连接——比如访问你的网站端口80或443，或者尝试连接你的SSH端口——就有可能通过精心构造的数据包触发漏洞，拿到系统权限。对于建站服务器来说，这些端口几乎不可能关掉，所以受影响面非常大。
受影响的Linux内核版本跨越多个长期支持分支，包括但不限于5.4、5.10、5.15、6.1等LTS内核的某些小版本。具体是不是在射程里，得看发行版公告。现在Red Hat、Ubuntu、Debian等都已经陆续推出修补包，云服务器运营方也会推送新内核。别等了，先自查。
自查：你的内核版本在修补名单上吗？
登录服务器，跑一句uname -r，或者cat /proc/version，就能看到当前内核版本。如果是云服务器，执行yum update kernel -y（CentOS/RHEL）或apt upgrade linux-image-generic -y（Ubuntu/Debian），然后重启服务器即可完成内核更新。
注意：更新内核必须重启，不能在线热补。如果你的业务不能随便停，那就先做临时缓解，再约时间窗口重启。
临时缓解：不行就先限一下访问源
在还没打补丁的窗口期，如果你用的是固定办公IP，可以先在iptables里把SSH和服务器管理面板的访问源限制到自己的IP，减少被扫到的概率。对于公网Web服务，没法限制来源，但至少可以赶紧启用TCP SYN cookies：
sysctl -w net.ipv4.tcp_syncookies=1
echo "net.ipv4.tcp_syncookies = 1" >> /etc/sysctl.conf
这个操作能增加攻击者构造有效数据包的难度，但不能完全防住，只是争取时间。
OpenSSH也紧急更新了，一块儿搞
就在11月5日，OpenSSH发布10.6p2，修补了另一个高危漏洞CVE-2026-123158（别名SSHole）。利用这个漏洞，攻击者发送超长密码就可能绕过认证直接登录。对有SSH开放端口的服务器来说，这跟上面的TCP漏洞同样要命。
查一下你的OpenSSH版本：ssh -V，如果低于10.6p2，立刻执行yum update openssh或apt upgrade openssh-server。内核和SSH双修，别留后门。
我们之前在微码盒的服务器知识库里写过不少漏洞自查看板，今天这轮也一样，把步骤理清楚，照着做就行。漏洞提醒会一直更新，建站路上那些坑，能避一个是一个。
