Ubuntu без патча для CVE-2026-98432: автор блога уходит с неё
Это эмоциональная авторская заметка от 2 ноября 2026 года, а не расследование: автор блога chalmovsky.com возмущён тем, что Ubuntu до сих пор не выпустила исправление для CVE-2026-98432.
По словам автора, это критическая уязвимость (CVSS 9.8) в TCP-коде ядра Linux. Она присутствует в ядре с 2016 года, поэтому, как пишет автор, ей подвержен практически каждый Linux-сервер в мире, а эксплуатировать её можно удалённо. Автор также приводит слова Anthropic: компания, по его формулировке, заявляет, что создала рабочий эксплойт, дающий root-доступ к серверу, то есть полный захват. Подробностей и ссылки на это заявление в тексте нет.
Debian исправила уязвимость 16 октября. Ubuntu, по утверждению автора, спустя более двух недель патча всё ещё не имеет, а все поддерживаемые выпуски, включая LTS, помечены как «Vulnerable» (уязвимы). Автор подчёркивает, что патча нет через девять дней после присвоения оценки 9.8 и через шесть дней после появления рабочего эксплойта с root-доступом. Эти сроки в тексте приведены без привязки друг к другу и к дате публикации CVE.
Главный упрёк, разрыв между обещаниями и делом: на сайте Ubuntu заявлены «своевременные патчи для критических уязвимостей», и автор иронизирует над этим. Заодно он высмеивает маркетинговые слова Ubuntu: «Timely», «Enterprise-grade», «Production grade», «Enterprise resilience. Developer velocity. Build with confidence on Ubuntu». Он называет их пустым бормотанием, где слова ничего не значат.
Личный итог: автор переносит все свои серверы с Ubuntu и говорит, что полностью потерял к ней доверие. На десктопе, по его словам, Ubuntu не нравилась никогда, а на серверах он пользовался ею в основном потому, что она по умолчанию стоит у большинства VPS-провайдеров, и считал её надёжным и спокойным LTS-дистрибутивом. Времени на миграцию сервисов и данных у автора не было, поэтому он просто отключил все серверы на Ubuntu.
Последний довод: дистрибутивы, которые ведут добровольцы (Debian, Arch, Alpine), уже выпустили исправление, а Ubuntu, которую делает компания, продающая подписки на безопасность, нет. Автор оговаривает, что это верно на 14:48 UTC 2 ноября 2026 года. Ответа Canonical или Ubuntu в тексте нет.
Ключевые факты
- По словам автора блога, CVE-2026-98432, критическая (CVSS 9.8) удалённо эксплуатируемая уязвимость в TCP-коде ядра Linux, присутствующая с 2016 года.
- Debian исправила её 16 октября; Ubuntu, по утверждению автора, на 14:48 UTC 2 ноября патча не имела, все поддерживаемые выпуски включая LTS помечены как уязвимые.
- Автор ссылается на заявление Anthropic о рабочем эксплойте с root-доступом к серверу; подробностей и ссылки в тексте нет.
- Автор противопоставляет обещание Ubuntu о «своевременных патчах для критических уязвимостей» реальности и сообщает, что Debian, Arch и Alpine исправление уже выпустили.
- Автор потерял доверие к Ubuntu, отключил свои серверы на ней и переносит их на другой дистрибутив (на какой, не сказано).
Почему это важно
Если утверждения автора верны, речь о критической уязвимости в сетевом коде ядра, которой подвержено подавляющее большинство Linux-серверов, а один из самых распространённых серверных дистрибутивов остаётся без исправления дольше, чем дистрибутивы на волонтёрской основе. Это бьёт по главному аргументу в пользу Ubuntu LTS, предсказуемой и быстрой поддержке безопасности. История вдобавок показывает, насколько быстро репутационный ущерб превращается в практические решения: автор отключил серверы и уходит с дистрибутива.
Кому это важно
Администраторам и владельцам серверов на Ubuntu, в том числе на VPS, где этот дистрибутив часто стоит по умолчанию. Командам безопасности и тем, кто выбирает базовый дистрибутив для продакшена и опирается на обещания вендора о сроках патчей. Также читателям, следящим за темой ИИ и безопасности: в тексте упомянуто заявление Anthropic о рабочем эксплойте.
Как это применить
Источник, публицистическая заметка, а не инструкция, и конкретных мер защиты в ней нет: нет ни обходного решения, ни ссылки на трекер безопасности Ubuntu, ни ожидаемой даты патча. Практический вывод для читателя, самому проверить статус CVE-2026-98432 для своих выпусков в официальных источниках Ubuntu и Debian и решить, нужны ли временные меры. Автор выбрал крайний путь: отключил серверы и планирует миграцию, но на какой дистрибутив, не сообщает.
Можно ли доверять
Осторожно. Это личный блог в резком тоне, а не новость и не официальное сообщение. Почти все утверждения, слова самого автора: критичность, затронутые выпуски, сроки. Заявление Anthropic дано в пересказе, без ссылки. Ответа Canonical или Ubuntu в тексте нет, а временные отметки (больше двух недель, девять дней, шесть дней) не согласованы друг с другом. Прежде чем действовать, статус уязвимости стоит проверить по первоисточникам.
Риски и подводные камни
Состояние на 14:48 UTC 2 ноября: позже патч мог уже выйти. Эмоциональная подача и обобщение «Ubuntu не заботится о безопасности» строятся на одном эпизоде. Автор противопоставляет волонтёрские дистрибутивы коммерческому, но сам текст не объясняет причин задержки. Резкий уход с дистрибутива без подготовленной миграции, как у автора, создаёт собственные риски простоя и потери данных. В тексте также не сказано, эксплуатировалась ли уязвимость на практике.
«Сайт Ubuntu обещает «своевременные патчи для критических уязвимостей».»
— Автор блога chalmovsky.com