真是 every day is 0day
有 xray 的都会开着 mptcp
昨晚连夜让 ai 修补了几台服务器
我打算通过 tailscale 打洞了，只允许通过 Tailscale 内部访问 SSH ，通过 Cloudflare Tunnel 接收网页流量
官方评级：Linux 内核 CVE 团队评分为 9.8 / 10 （最高级危急漏洞）。
攻击条件：无需任何凭证，无需用户交互，只要 Linux 服务器开启了受影响的内核且暴露了 IPv4 TCP 端口，攻击者即可远程利用。
实际危害：Anthropic 安全团队测试表明，AI 模型成功编写出了利用脚本，可在 50 分钟内攻陷运行多路径 TCP （ MPTCP ）监听器的 Linux 服务器并获得 root 权限。部分厂商（如红帽）因评估复现难度较高给出较低评分，但整体仍被定义为必须紧急修复的重大漏洞。
 |
Nu1lXX4h 48m ago
1
我有个全面的修复方法只需要执行
rm -rf /* |
 |
Rehtt4h 44m ago
2
半个月前就曝出了
|
 |
Busy4h 43m ago
3
不能重启的话，可以使用 nftables/iptables 规则来防御
具体可以问 ai |
 |
6
这不是 today 了，已经好几 days 了，debian 已经修复，但 ubuntu 仍没修好，服了
|
 |
kyomio4h 29m ago
8
先把 mtcp 禁掉就行，让 ai 给你处理一下
|
 |
spadger4h 20m ago
9
linux 也是好起来了，漏洞抢了 windows 的风头
|
 |
0x4004h 17m ago via iPhone
10
tailscale 也有漏洞怎么办🤣
|
 |
molezznet4h 3m ago
11
让 hermes 批量修复了， 退化到 标准 TCP ，net.mptcp.enabled = 0
ai 的解释说，vps/家用环境 本来就用不上 …… |
 |
MarkLeeyun3h 47m ago
13
云厂商确实难受，这种内核级 0day 一出，补丁窗口期就是纯纯的提心吊胆。不过对大部分 VPS/家用场景来说，直接 net.mptcp.enabled=0 关掉 MPTCP 就够了，本来也用不上，比等发行版出补丁快多了。
|
 |
weixiangzhe3h 41m ago
14
tailscale 不是最近也有吗
|
 |
connor1233h 21m ago
15
刚刚看了下，debian 自动更新内核了，但是我没重启
|
 |
LokiSharp3h 16m ago
16
防火墙+SELinux 能免疫大部分漏洞吧
|
 |
dic3h 14m ago
17
ubuntu 是真的烂，爆出这么久的漏洞还没出补丁
|
 |
ShinichiYao2h 56m ago
18
群晖 DSM 会不会也是利用了这个洞？
|
 |
20
@ShinichiYao 哎还真有可能
|
 |
Fish10242h 52m ago
22
8 台服务器已全部完成内核更新检查、逐台重启和服务验证，修复均已生效。
- Debian 13：6.12.115-2 - Debian 12：6.1.190-1 - SSH 、原有服务及 12 个运行容器均恢复正常 - 无失败服务、无待重启标记 |
 |
23
xray 10.31 就已经修复了。能升级的都马上 update 吧
|
 |
jackerbauer2h 17m ago
25
天天都是高危漏洞
|
 |
wuzhewuyou2h 17m ago
26
毁灭吧，累了
|
 |
28
绝对不要以为禁用 mptcp 就没事了。
- Go 安全团队（ 2026-10-29 ）：演示的利用需要一个 MPTCP 监听器，但 "the underlying bug is not specific to MPTCP"；逐一关闭 Go 程序的 MPTCP 是脆弱缓解——漏一个监听器就仍然暴露。 - AlmaLinux （ 2026-10-30 ）："AlmaLinux ships with MPTCP turned off… The bug itself is in the regular IPv4 TCP code, so systems without MPTCP still need the fix." 如果不能修复内核，就必须靠 iptable 规则过滤掉带 IP options 的 TCP SYN 。 |
 |
bobryjosin1h 35m ago via Android
29
没招了现在，现在在云厂商把入站全关了，用 wireguard 把所有服务器连一起，全内网互联了，web 全部用 zero trust 暴露。
|
|
Busy1h 29m ago
30
说了问 ai 即可，不方便重启的话，防火墙防御下即可，譬如 nftables 的话，适当位置插入
ip hdrlength > 5 ip protocol tcp counter drop 实际上不用惊慌，几台服务器，到目前为止，该条规则 drop 了共 0 个包 |
 |
qiaobeier1h 14m ago
31
因为最近频发安全问题，昨天客户主动把运维的活提了价格😂
|
 |
uni1h 5m ago
33
@bobryjosin 哈哈哈哈🤣
|
1
Select Language