CVE-2026-98432 – Linux 内核 IPv4 TCP 释放后使用问题
公告 ID： 2026-160-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期： 2026 年 10 月 30 日晚上 10:15（太平洋夏令时）
上次更新日期：2026 年 10 月 11 日太平洋标准时间下午 13:45
摘要：
AWS 已经知悉 CVE-2026-98432，即 Linux 内核 IPv4 TCP 握手路径中的内存问题，影响内核版本 4.4 及更高版本。在特定条件下，未经认证的远程第三方可以向受影响的侦听器发送带有 IP 选项的特制的 IPv4 TCP 数据包。这会导致内核崩溃、内核内存泄露或内存损坏。研究人员已演示针对具有多路径 TCP（MPTCP）侦听器的主机进行未经身份验证的远程代码执行。我们目前没有证据表明此问题已被利用。如果有更多信息，我们将更新此公告。
当前缓解措施状态：
Amazon Linux
用于解决 CVE-2026-98432 的 Amazon Linux 2 和 Amazon Linux 2023 内核软件包现已推出。客户应更新其内核软件包并重新启动。内核版本 kernel-4.14、kernel-5.4、kernel-5.10、kernel-5.15、kernel-6.1、kernel-6.12 以及 kernel-6.18：现已推出。
公告：阿拉斯2-2026-4065， ALAS2KERNEL-5.4-2026-135， ALAS2KERNEL-5.10-2026-137， ALAS2KERNEL-5.15-2026-120， 唉 2023-2026-3365， 阿拉斯2023-2026-3335， 阿拉斯2023-2026-3251。
要更新：
|
# Amazon Linux 2 # Amazon Linux 2023 Kernel 6.1 # Amazon Linux 2023 Kernel 6.12 # Amazon Linux 2023 Kernel 6.18 |
锁定至发行版本的 Amazon Linux 2023 实例必须使用版本 2023.12.20261102 或更高版本，才能接收更新后的内核。
Amazon EC2
在 Amazon EC2 上运行自管理型 Linux 实例的客户，负责更新这些实例上的内核。若运行 Amazon Linux，请按照上文所述更新内核软件包。若运行其他 Linux 发行版，请遵循发行版的指南来应用可用的修复。
更新内核后，需要重新启动，修复才会生效。内核更新和重新启动是彻底解决此问题的唯一修复方法。
AWS Web 应用程序防火墙、应用程序负载均衡器、经典负载均衡器、网络负载均衡器上的 TLS 侦听器、Amazon CloudFront、Amazon API Gateway
在遵循最佳实践时，使用上述服务的客户不会直接从不可信来源收到 TCP 连接。AWS 正在对这些服务的底层基础设施应用更新，如果您在使用这些服务，则无需立即采取行动。仍建议客户在接下来 30 天内更新这些服务背后的自管理型实例。
AWS Global Accelerator
Global Accelerator 不支持 IPv4 TCP 数据包中的 IP 选项。在处理任何连接之前，所有包含 IP 选项的传入数据包均会被 Global Accelerator 的数据面板丢弃。因此，Global Accelerator 的数据面板本身以及 Global Accelerator 背后的所有端点均不受此问题的影响。
Amazon EKS
亚马逊 EKS 管理的 Kubernetes 控制平面已更新，以解决此问题。EKS 控制平面无需客户采取任何行动。
Amazon EKS 发布了更新后的 EKS 优化版 Amazon Linux 2023 AMI （版本 v20261031），可解决此问题。将托管节点组、自管理节点或 Karpenter 与这些 AMI 配合使用的客户，应将其节点更新到 v20261031 或更高版本。
Amazon EKS 于 2026 年 10 月 31 日发布了更新后的 EKS 自动模式 AMI。EKS 自动模式会根据您的 NodePool 中断预算，自动使用运行更新后的 AMI 的节点替换现有节点。EKS 自动模式无需客户执行任何操作。EKS 自动模式 AMI 以“Bottlerocket (EKS Auto, Standard) 2026.10.31”的形式命名。要检查您的节点正在运行哪些 AMI，请运行 `kubectl get node-o wide`命令并比较 OS-IMAGE 列。
2026 年 11 月 1 日，太平洋标准时间上午 9:00（2026 年 11 月 1 日，世界标准时间下午 5:00）之后推出的 Amazon EKS Fargate 容器组（pod），在修补后的平台上运行。作为我们日常工作的一部分，亚马逊 EKS 会替换已经在 14 天内运行的 Pod 补丁周期。
ElastiCache
我们正在全球部署缓解措施，以防止对您的缓存进行攻击。 长期补救措施是让你申请 自助更新 到您的名为 elasticache-20261106-arm 或 elasticache-20261106-intel 的 ElastiCache 集群，该集群现已上线。
MemoryDB
我们正在全球部署缓解措施，以防止您的数据库受到攻击。 长期补救措施是让你申请 自助更新 到名为 memorydb-20261106-arm 的 MemoryDB 集群，该集群现已可用。
AWS RTB Fabric
RTB Fabric 网关会终止入站 TCP 连接并打开与客户端点的单独连接，因此携带 IP 选项的 IPv4 数据包不会传递到从 RTB Fabric 接收流量的端点。AWS 已经完成了对 RTB Fabric 底层基础设施的更新，客户无需为 RTB Fabric 采取任何行动。运行自我管理的 Linux 实例（包括通过 RTB Fabric 发送或接收流量的终端节点）的客户有责任按照上述 Amazon EC2 的说明更新这些实例上的内核。
AWS Elastic Beanstalk
基于 Amazon Linux 2023 的 Elastic Beanstalk 平台将使用受影响的内核版本。Elastic Beanstalk Windows Server 平台不受影响。
Elastic Beanstalk 已经发布了亚马逊 Linux 2023 平台版本，其中包括打补丁的内核。这些平台版本于 2026 年 11 月 4 日发布，使用 AMI 版本 2023.12.20261102。有关详细信息，请参阅 Elastic Beanstalk 发行说明。启用了托管平台更新的环境在其下一个维护时段内更新到修补后的版本。对于其他环境， 更新平台版本。
如果您无法立即更新平台版本，请更新环境实例上的内核并重启，如上述 Amazon Linux 部分所述。Elastic Beanstalk 稍后启动的实例（例如在横向扩展或替换实例时）将从平台 AMI 启动。在您的环境运行修补后的平台版本之前，它们需要相同的更新。
Amazon ECS
在 EC2 上运行 ECS 的客户应更新其容器实例上的内核并重启，或者将其替换为从最新 ECS 优化的 AMI（版本 20261031）启动的实例。
Fargate：AWS 已经发布了经过补丁的平台版本。2026 年 11 月 1 日，太平洋标准时间上午 9:00（2026 年 11 月 1 日，世界标准时间下午 5:00）之后启动的所有新任务，均使用修补后的平台版本。根据您的任务停用设置，现有任务将停用，或者您可以按照 AWS Fargate 的任务停用和维护中所述更快地替换它们。
ECS 托管实例：AWS 已经发布了更新的 AMI，同时启动的新实例使用了已修补的 AMI。现有实例将在启动后 14 天或更早耗尽，以便与您的活动窗口保持一致 (在 Amazon ECS 托管实例中打补丁）。要立即更新，请手动清空它们。
Bottlerocket
修补后的 Bottlerocket 内核已发布。更新了 Bottlerocket AMI bottlerocket v1.68.1 带有补丁的内核已于 10 月 31 日发布。
AWS Lambda
Lambda 工作负载不受此问题的影响。CVE-2026-98432 要求行为者将特制的网络数据包发送到受影响主机上可公开访问的 IPv4 TCP 端口。Lambda 函数没有公有 IPv4 TCP 端口，因此外部方无法通过触发此问题所需的流量类型访问您的函数的执行环境。您不需要进行任何操作。
作为纵深防御措施，我们正在主动将内核补丁应用于 Lambda 服务基础设施。
Amazon Lightsail
在 Amazon Lightsail 上运行自管理型 Linux 实例的客户，负责更新这些实例上的内核。若运行 Amazon Linux，请按照上文所述更新内核软件包。若运行其他 Linux 发行版，请遵循发行版的指南来应用可用的修复。
更新内核后，需要重新启动，修复才会生效。内核更新和重新启动是彻底解决此问题的唯一修复方法。
VPC 端点（PrivateLink）
在 AWS PrivateLink 端点服务背后运行 Linux 目标的客户，应更新这些目标上的内核并重新启动，或者在能够这样做之前应用以下临时步骤。
VPC Lattice
在 VPC Lattice 背后的 Linux 上运行第 4 层（TCP）目标的客户，应更新这些目标上的内核并重新启动，或者在能够这样做之前应用以下临时步骤。
RDS/奥罗拉
RDS/Aurora 客户应确认其数据库端口无法从互联网访问。此外，我们已经在全球范围内全面部署了缓解措施，以解决您的数据库主机上的此问题。长期修复措施是由您修补数据库操作系统。这个补丁现在可供你申请。
Neptune
Neptune 客户应确认其数据库端口无法从互联网访问。
Redshift
所有Redshift客户都因本次CVE而受到缓解。
Storage Gateway
存储网关为所有支持的网关提供了更新版本。此更新可立即通过 AWS 控制台和 API 进行手动更新。此更新将根据维护时段自动应用。我们建议您立即执行手动更新，以加快网关的修补速度。
AWS Cloud9
AWS Cloud9 EC2 环境会自动安装亚马逊 Linux 和 Ubuntu 更新，但更新的内核只有在环境重启后才会生效。安装更新后，客户应重新启动每个环境的 EC2 实例，或停止环境然后再重新启动。Canonical 尚未发布适用于 Ubuntu 的已修复内核。使用 Ubuntu 环境的客户应在安装已修复内核后重新启动它们。使用 AWS Cloud9 SSH 环境的客户，负责在自己的服务器上更新该内核。
Amazon GameLift
Amazon GameLift Servers 已发布更新后的 Amazon Linux 2 和 Amazon Linux 2023 AMI，以解决所有区域中的此问题。2026 年 11 月 2 日，太平洋标准时间下午 1:06（2026 年 11 月 2 日，世界标准时间晚上 9:06）之后创建的容器实例集，以及 2026 年 11 月 2 日，太平洋标准时间下午 5:55（2026 年 11 月 3 日，世界标准时间凌晨 1:55）之后创建的托管 EC2 实例集，使用已缓解此 CVE 的更新版 AMI。使用在这些时间之前创建的容器或托管 EC2 实例集的客户，应创建新的实例集，将游戏会话流量移动至该实例集（例如，通过更新游戏会话队列目的地或别名），然后删除旧实例集。现有实例集继续使用创建时使用的 AMI，并且无法通过更新来为新启动的实例主动缓解此 CVE；重新创建实例集是完全缓解此风险的唯一机制。运行 Windows 的实例集不受此问题的影响。使用 Anywhere 实例集的客户需管理自己的操作系统，应按照上文针对 Amazon EC2 的说明更新内核并重新启动。
Amazon GameLift Streams
亚马逊GameLift Streams提供基于Ubuntu Linux的运行时环境，供客户选择执行应用程序。Canonical的待定更新将在可用时发布给客户。目前无需执行任何操作。
Amazon WorkSpaces
Amazon WorkSpaces Windows 捆绑包不受此问题的影响。Linux WorkSpaces 使用受影响的 Linux 内核，应在适用的操作系统供应商提供已修复内核时进行更新。
在默认的 WorkSpaces 配置中，Linux WorkSpaces 不接受来自 WorkSpace 外部的入站连接，并且默认的 WorkSpaces 安全组不允许入站访问。如果客户已开放 Linux WorkSpaces 的入站端口（例如 SSH），或者运行自己的 TCP 服务，尤其是支持 MPTCP 的服务，则对客户的影响会增加。
搭载 Amazon Linux 2 的 Amazon WorkSpaces 个人版实例可以通过现有的 WorkSpaces 维护机制，接收修复后的 Amazon Linux 内核。客户应确保 Linux WorkSpaces 可以访问其操作系统更新存储库，并应在安装已修复内核后重新启动 WorkSpaces，以便更新后的内核处于活动状态。
搭载 Amazon Linux 2 的 Amazon WorkSpaces Applications 实例集和映像生成器可通过以下方式接收修复后的 Amazon Linux 内核：通过 AWS CLI 或 SDK 创建更新后的映像，或启动和更新现有的映像生成器或映像，然后从中创建新映像。在这两种情况下，客户均应更新实例集以使用新映像。
对于 Ubuntu、Red Hat Enterprise Linux 和 Rocky Linux 等第三方 Linux 发行版，已修复内核的可用性取决于相应的操作系统供应商。客户应监控供应商的建议并在可用时应用更新。在运行 Ubuntu 的 Amazon WorkSpaces 个人版实例上，除非供应商提供已安装并处于活动状态的适用实时补丁，否则在 WorkSpace 重新启动之前，安装已修复内核可能无法保护正在运行的 WorkSpace。
已停止的 AutoStop WorkSpaces 无法运行，在停止时不会受到影响；它们需要安装更新并在下次启动后或维护时段内重新启动。禁用维护模式或限制存储库访问权限的客户，应确认是否正在应用更新。
新配置的 Linux WorkSpaces 个人版实例会在配置期间安装可用的操作系统更新。从相关操作系统存储库中获得已修复内核后，新创建的 Linux WorkSpaces 应在配置完成后使用可用的已修复内核启动。
AWS Database Migration Service（AWS DMS）
AWS DMS 复制实例，包括运行 AWS DMS Serverless 复制的实例，不接受来自客户网络或互联网的入站连接，因此外部方无法向其发送触发此问题所需的流量。
作为纵深防御措施，AWS DMS 会将修补后的内核应用于所有复制实例和 AWS DMS Serverless 复制。该更新将于 2026 年 11 月 2 日前在所有 AWS 区域推出。AWS DMS 将在每周维护时段内应用该更新，并重新启动。在重新启动期间，正在运行的任务会暂停后恢复，仍处于全量加载中的表将重新启动。要选择这种情况的发生时间，请更改复制实例的维护时段。
要尽快获得更新，请检查 “aws dms describe-pending-maintenance-actions” 是否列出了复制实例的操作系统补丁操作。如果是，请立即加以应用。这会立即重新启动实例：
| aws dms 申请待维护操作--replication-instance-arn--apply-action os-patch--立即选择输入类型 |
Amazon MQ
Amazon MQ 已发布更新后的主机映像，其中包含适用于 Amazon MQ for RabbitMQ 和 Amazon MQ for ActiveMQ 的已修补内核。2026 年 11 月 2 日，世界标准时间 12:16 之后创建的代理使用已修补内核。现有代理将在下一个计划维护时段内自动更新，客户无需采取任何行动。要更快应用更新，请将代理的维护时段更改为更早的时间。重新启动代理不会应用此更新。有关更多信息，请参阅为 Amazon MQ 代理计划维护时段。
AWS CodeBuild
CodeBuild Linux 编译主机运行受影响的内核版本。内核属于编译主机，而不是编译镜像，因此所有 Linux 版本无论使用什么镜像，都会受到影响。
- 按需舰队：自 2026 年 11 月 5 日起，更新后的 x86_64 版本主机 AMI 已部署在所有商业区域。他们在亚马逊 Linux 2 上运行内核 4.14.355-287.758，在亚马逊 Linux 2023 上运行内核 6.1.189-236.400。自 2026 年 11 月 6 日起，更新后的 ARM (aarch64) AMI 已部署在所有商业区域。无需客户执行任何操作。
- 预留容量机队：自 2026 年 11 月 9 日起，适用于 x86_64 和 ARM 队列的更新版 AMI 已部署在所有商业区域，包括容器计算和 EC2 计算。如果你的舰队使用 自定义 AMI， 使用打补丁的内核对其进行重建，然后更新舰队以使用新的 AMI。
您无需更改编译镜像或构建规范。要检查构建版本运行在哪个内核上，请在编译规范中添加 uname-r。
AWS 深度学习 AMI (DLAMI)
亚马逊 Linux 2023 DLAMis：带有补丁内核（kernel6.12 6.12.113-138.209）的更新版 DLAMI 已经发布。有关详细信息，请参阅 DLAMI 发行说明 （例如， AWS 深度学习基地 GPU AMI（亚马逊 Linux 2023））。 从最新的亚马逊 Linux 2023 DLAMI 启动新实例。要更新现有实例，请更新内核并重启：
| sudo dnf 更新 kernel6.12--releasever=lateset && sudo 重启 |
Ubuntu 22.04 和 26.04 DLAMis：带有Canonical固定内核的更新版DLAMI即将推出，并将很快在所有地区推出。从最新的 Ubuntu 22.04 或 26.04 DLAMI 启动新实例。
Ubuntu 24.04 DLAMis：更新后的 DLAMI 尚不可用。我们将在Canonical的固定内核可用后发布更新的Ubuntu 24.04 DLAMI，并将在本公告发布时对其进行更新。
AWS 并行计算服务（AWS PCS）
截至 2026 年 11 月 1 日，AWS PCS 已修补所有 PCS 集群的 Slurm 控制器。客户无需对控制器执行任何操作。
客户负责更新其计算节点组中实例的内核，包括登录节点。AWS PCS 于 2026 年 10 月 29 日发布了适用于亚马逊 Linux 2023（x86_64 和 arm64）的更新版 PCS 示例 AMI，其中包括已修补的内核。这些 AMI 以 aws-pcs-sample_ami-al2023-arm64-和 aws-pcs-sample_ami-al2023-x86_64-的形式命名。参见 适用于 AWS PCS 的亚马逊计算机映像 (AMI) 有关适用于 PCS 的 AMI 的更多信息。
使用 PCS 示例 AMI 的客户应更新其计算节点组以使用最新的示例 AMI。使用自己的 AMI 的客户应使用打补丁的内核对其进行重建，或者在正在运行的实例时更新内核并重启。要在不损失 EC2 容量的情况下重启计算节点，请使用 Slurm 的 scontrol 重启命令，如中所述 在 AWS PCS 中使用 Slurm 重启计算节点。
支持电脑的深度学习AMI（DLAMI）基于Ubuntu 24.04，Canonical尚未发布适用于Ubuntu的固定内核。当已修补的 DLAMI 可用时，AWS PCS 将发布更新后的 PC 就绪 DLAMI。使用基于 Ubuntu 的 AMI 的客户应应用下面提供的临时步骤，直到 Ubuntu 打补丁的内核发布为止。
Amazon FSx
我们正在全球范围内部署缓解措施，以解决受影响的 Amazon FSx 文件系统上的此问题。长期修复是一个补丁，该补丁现已推出，不久将覆盖所有AWS区域。补丁在某个区域推出后，该地区启动的新文件系统就会包括该补丁，现有文件系统将在下一个每周维护时段内自动修补。无需客户执行任何操作。
适用于无法立即更新的客户的临时步骤
通过设置内核参数 net.mptcp.enabled=0 来禁用 MPTCP，或者为使用 Go 1.24 或更高版本构建的应用程序设置 godebug=MultiPathtcp=0。此步骤减少了在主机上运行代码的条件，但并没有解决问题。更新内核并重新启动可解决问题。
客户可以禁用 IP 选项，通过 IP 表规则来缓解这种情况。下面提供了一个示例：
| iptables -I INPUT 1 -m u32 --u32 '0>>24&0x0f=6:15' -j DROP |
除非使用发行版的工具进行保存，否则此规则在重新启动后不会保留。Amazon Linux 2023 默认不包含 iptables。
AWS Network Firewall
AWS Network Firewall 客户可以通过添加以下有状态规则来缓解风险，此规则会丢弃带有 IP 选项的 IPv4 数据包。使用尚未在其规则组中使用的 SID：
| drop ip any any -> any any (msg:"CVE-2026-98432: drop IPv4 packets carrying IP options (IHL > 5)"; ipv4.hdr; bsize:>20; sid:1000001; rev:3;) |
您的防火墙策略必须使用严格的规则顺序。为此规则组指定低于允许规则组的优先级编号。无状态规则通过的流量会跳过此规则。
如果您的策略使用默认顺序，请创建新的严格顺序策略，并按严格顺序重新创建有状态规则组。然后将防火墙切换到新策略。这会改变所有规则的评估方式，并可能中断现有连接，因此请先对其进行测试，并在更改后进行监控。
作为额外的纵深防御措施，AWS 正在应用与此问题相关的网络级保护措施。这些保护措施并不能取代针对此问题的建议缓解措施，建议客户继续应用本公告中的指南。
参考：
请发电子邮件 aws-security@amazon.com 有任何安全问题或疑虑。