LND更新停用MPTCP監聽器，Linux核心漏洞仍須另行修補

閃電實驗室（Lightning Labs）10月30日發布比特幣（BTC）閃電網路節點軟體LND的安全更新，可阻擋已展示的遠端攻擊途徑，但不會修補LND所運行的Linux核心漏洞。

此次更新版本為LND v0.20.7-beta與v0.21.6-beta，會停用Linux預設開啟的MPTCP監聽器。閃電實驗室在官方發布說明中將此措施列為緩解攻擊途徑的方法，並指出修補核心才是解決漏洞的方式。

漏洞編號為CVE-2026-98432，原因是Linux核心處理IPv4 TCP連線時，重新存取已釋放的記憶體，形成use-after-free錯誤。Ubuntu安全追蹤器列出的CVSS 3.1嚴重度為9.8分。

Anthropic於10月27日發布研究，表示已展示如何透過開啟MPTCP監聽器的Linux伺服器遠端執行命令，過程不需要驗證或使用者操作。公開展示的攻擊途徑使用了MPTCP，但核心缺陷本身並不限於MPTCP。

MPTCP（Multipath TCP，多路徑TCP）是一種擴充功能，可讓單一TCP連線同時使用多條網路路徑。監聽器則是伺服器程式等待其他裝置連線請求的通訊入口。

從Go 1.24起，Linux上的Go程式在預設設定下可以開啟MPTCP監聽器。因此，LND 0.21.x可在節點連線，以及gRPC、REST介面上開啟這類監聽器。Go專案的相關討論也涉及這項預設行為。

閃電實驗室建議營運者更新LND、在主機停用MPTCP，並安裝Linux發行版提供的核心安全修補程式。LND更新只會改變該應用程式的監聽器設定，不會影響同一伺服器上的其他程式或核心。

無法立即更新LND的營運者，可在既有執行檔的環境設定中加入GODEBUG=multipathtcp=0。這項措施同樣只適用於該程式的監聽器。若以容器運行節點，也應檢查各網路命名空間的MPTCP設定。

Canonical與紅帽（Red Hat）均強調仍須安裝核心修補程式。Canonical指出，停用MPTCP不會消除核心缺陷；紅帽則表示，即使系統預設關閉MPTCP，仍可能受到漏洞影響。過濾IPv4選項封包只能降低暴露風險，不能取代修補程式。

Ubuntu追蹤器於11月9日更新的資料顯示，一般linux套件在Ubuntu 26.10的修補版本為7.3.0-10.10；Ubuntu 24.04 LTS的6.8.0-149.149，以及22.04 LTS的5.15.0-203.213，則仍列為修補作業中。

Canonical於11月2日表示，Ubuntu 22.04與24.04的修正版已放入供驗證使用的-proposed套件庫，完成穩定性測試後預計發布至一般更新套件庫。不同核心類型與套件的修補狀態可能不同，因此不能只憑發行版名稱判斷是否已安裝修補程式。

Hacker News的討論聚焦於MPTCP究竟是漏洞成立的必要條件，還是公開展示所採用的攻擊途徑，以及IPv4選項封包過濾在實際網路中的效果。截至11月10日查閱時，該貼文顯示751點與334則留言。這些內容屬於使用者討論，不能證明實際攻擊已經發生。

AWS在11月6日更新的安全公告中表示，截至當時，AWS在自身觀測範圍內尚未發現漏洞遭利用的證據；此說法僅適用於AWS的觀測範圍。

安裝核心安全更新後，必須重新啟動才能套用新核心。可使用uname -r指令確認目前運行的核心版本。