Tóm tắt nhanh
- CVE-2026-98432 là lỗi trong nhân Linux, được chấm CVSS 9,8/10; không phải lỗi riêng của ứng dụng Amnezia hay giao thức Xray.
- Máy chủ Linux mở cổng TCP có thể bị ảnh hưởng. Máy chủ tự dựng Amnezia chạy Xray qua TCP có rủi ro cao hơn do MPTCP được bật mặc định.
- Cách xử lý là cập nhật kernel, khởi động lại máy chủ và cài lại Xray phiên bản 26.10.31. Chỉ cập nhật gói mà không reboot thì bản vá kernel chưa có hiệu lực.
Một lỗi trong nhân Linux có thể mở đường cho kẻ tấn công chiếm quyền máy chủ từ xa, không cần mật khẩu hay thao tác từ người dùng. CVE-2026-98432 được chấm 9,8/10 theo thang CVSS; người cần chú ý nhất là quản trị viên tự vận hành máy chủ Amnezia có cài Xray, nhưng phạm vi lỗi rộng hơn một dịch vụ VPN.
Lỗi nằm ở kernel Linux, còn Xray làm tăng mức phơi nhiễm
Điểm cần phân biệt là vị trí của lỗi: CVE-2026-98432 nằm trong phần kernel xử lý kết nối IPv4 TCP, không phải một lỗ hổng riêng của mã Amnezia hay Xray. Theo thông tin Amnezia công bố, lỗi liên quan cách kernel xử lý bộ nhớ khi nhận kết nối; kẻ tấn công có thể khai thác để chạy lệnh với quyền root trên máy chủ bị ảnh hưởng.
Xray đáng lưu ý vì các máy chủ dùng nó thường mở dịch vụ TCP, còn engine viết bằng Go bật MPTCP (Multipath TCP) mặc định. MPTCP cho phép một kết nối TCP đi qua nhiều đường mạng; trong trường hợp này, tính năng đó tạo điều kiện để khai thác lỗi. Đây là lý do Xray bị xếp vào nhóm rủi ro cao, chứ không có nghĩa Xray là nơi phát sinh lỗi.
Kịch bản khai thác được công bố đã được tái hiện trên máy chủ có socket MPTCP đang lắng nghe. Không nên suy rộng kết quả đó thành khẳng định rằng mọi máy chủ TCP đều có thể bị chiếm theo cùng một cách; ngược lại, chỉ tắt MPTCP cũng chưa đủ để kết luận hệ thống an toàn.
Không chỉ máy chủ VPN mới cần kiểm tra cổng TCP
Mọi máy chủ Linux có cổng TCP đang lắng nghe đều nằm trong phạm vi cần đánh giá, gồm cả máy chủ web, thư điện tử hay SSH. Vì vậy, đổi từ Xray sang một giao thức VPN dùng UDP không thay thế việc vá kernel: các dịch vụ TCP khác trên cùng máy vẫn có thể tạo bề mặt tấn công.
Máy chủ WireGuard hoặc AmneziaWG dùng UDP cho lưu lượng VPN và không mở TCP để xử lý luồng VPN theo cách đó, nhưng máy chủ vẫn có thể chạy SSH hoặc dịch vụ TCP khác. Mức phơi nhiễm gắn với cấu hình và dịch vụ đang lắng nghe, không chỉ với tên ứng dụng VPN.
Người dùng Amnezia Premium, Free và Business không phải tự xử lý máy chủ của nhà cung cấp theo hướng dẫn dành cho self-hosted; Amnezia cho biết họ đã cập nhật và kiểm tra hạ tầng của các gói này. Với máy chủ thuê VPS tự quản lý, trách nhiệm cập nhật và xác minh thuộc về quản trị viên.
Bản vá chỉ có tác dụng sau khi khởi động lại máy chủ
Amnezia khuyến nghị cập nhật kernel qua trình quản lý gói của bản phân phối Linux, sau đó reboot để nạp kernel mới. Nếu máy chủ được quản lý bằng Amnezia VPN phiên bản 5.1.0.6 trở lên, hướng dẫn của hãng yêu cầu gỡ Xray trong mục Protocols, cập nhật server packages ở mục Management và khởi động lại khi được nhắc; sau đó cài Xray lại để nhận phiên bản đã vá 26.10.31.
Thứ tự này quan trọng: nâng cấp gói trên đĩa chưa thay kernel đang chạy. Không khởi động lại đồng nghĩa máy chủ vẫn vận hành bằng kernel cũ và chưa nhận bản vá. Việc reboot cũng làm máy chủ tạm ngắt kết nối; các phiên Xray hiện tại sẽ dừng, nên quản trị viên cần tính trước thời điểm bảo trì và cách khôi phục quyền truy cập cho người dùng.
Với kernel tự biên dịch, Amnezia nêu các nhánh upstream đã có bản vá gồm 5.10.272, 5.15.223, 6.1.190, 6.6.159 và 6.12.113 trở lên. Người dùng gói Linux của nhà cung cấp nên kiểm tra bản sửa tương ứng trong kênh bảo mật của chính bản phân phối, thay vì chỉ so số phiên bản upstream.
Tự thuê VPS đồng nghĩa phải quản lý cả hệ điều hành
Với người tự thuê VPS tại Việt Nam để dựng VPN, cài đặt ứng dụng thành công chỉ là bước khởi đầu. Giao diện báo VPN kết nối được không xác nhận kernel đã được vá, còn cập nhật ứng dụng trên điện thoại cũng không đồng nghĩa hệ điều hành máy chủ đã thay đổi. Việc bảo trì cần gắn với chính VPS đang phục vụ kết nối, không dừng ở thiết bị dùng để truy cập.
Nút cập nhật gói trên máy chủ cũng không bảo đảm bản phân phối đã cung cấp kernel có bản sửa. Cần đối chiếu thông báo bảo mật của bản phân phối và xác nhận kernel sau khi reboot; nếu chưa có bản vá phù hợp, phải coi máy chủ là chưa xử lý xong thay vì tiếp tục dùng chỉ vì VPN vẫn hoạt động.
Biện pháp tạm thời không thay thế việc vá kernel
Amnezia đề xuất chặn IP Options bằng quy tắc firewall trong trường hợp chưa thể cập nhật kernel. Đây chỉ là biện pháp giảm thiểu tạm thời: cần áp dụng đúng theo hướng dẫn của hãng, kiểm tra tác động tới cấu hình mạng, rồi quay lại cập nhật kernel ngay khi bản vá của nhà cung cấp có sẵn.
Nếu chưa thể cập nhật máy chủ chạy Xray, hướng dẫn của Amnezia là gỡ container Xray và chuyển sang giao thức VPN dùng UDP như AmneziaWG. Cách này giảm rủi ro liên quan đường khai thác gắn với Xray/MPTCP, nhưng không khắc phục lỗ hổng kernel trên máy chủ có dịch vụ TCP khác.
Cũng cần lưu ý rằng vá lỗi không chứng minh máy chủ chưa từng bị xâm nhập. Với máy chủ đã chạy lâu hoặc có dấu hiệu bất thường, quản trị viên nên kiểm tra nhật ký và tài khoản đặc quyền sau khi cập nhật; nếu kẻ tấn công đã có quyền truy cập trước đó, chỉ cài kernel mới không tự loại bỏ mọi hậu quả.
Nguồn tham khảo: Amnezia VPN; TechRadar
