防范 CVE-2026-98432

# [安全] 防范 CVE-2026-98432 来源：https://groups.google.com/g/golang-announce/c/PCoQcdxoScw 各位 Gopher，大家好： 近期披露的 CVE\-2026\-98432 (https://nvd.nist.gov/vuln/detail/cve-2026-98432) 描述了一个释放后使用问题，该问题影响 Linux 内核中的 IPv4 TCP 连接处理。在 Anthropic 描述的一种漏洞利用方式 (https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) 中，使用多路径 TCP (https://en.wikipedia.org/wiki/Multipath_TCP)（MPTCP）监听器的服务器被证实存在远程代码执行（RCE）风险。 **修复此漏洞的最佳方法是升级到已修补的内核版本。** 虽然已演示的漏洞利用方式要求目标系统对外暴露 MPTCP 监听器，但底层缺陷并非 MPTCP 特有。没有 MPTCP 监听器的系统也可能受到类似攻击。 从 Go 1\.24 (https://go.dev/doc/godebug#go-124) 开始，Go 程序默认会为 Linux 上的监听套接字启用 MPTCP。可以通过设置 GODEBUG 的 "multipathtcp" 选项来更改此默认行为： - 在程序的环境中设置 "GODEBUG=multipathtcp=0"，将在运行时默认禁用 MPTCP。 - 在主模块的 go\.mod 文件中添加 "godebug multipathtcp=0"，将在构建时将 MPTCP 设置为默认禁用。 程序也可以使用 net\.Dialer\.SetMultipathTCP (https://pkg.go.dev/net#Dialer.SetMultipathTCP) 和 net\.ListenConfig\.SetMultipathTCP (https://pkg.go.dev/net#ListenConfig.SetMultipathTCP)，为各个套接字显式启用或禁用 MPTCP。这些函数会覆盖 GODEBUG 设置。 请注意，逐个程序禁用 MPTCP 是一种脆弱的缓解措施。即使只是意外遗漏了一个对外暴露的 MPTCP 监听器，系统仍然会存在风险。此外，这种措施假设了该缺陷的所有可行利用方式都依赖 MPTCP。我们再次强烈建议升级到已修补的内核版本。 目前，我们认为，为应对此问题而考虑对 Go 做出任何更改（例如更改 MPTCP 的默认行为）还为时过早。有关此问题以及我们可能采取的应对措施的进一步讨论将在 https://go.dev/issue/82717 上进行。 \- Go 安全团队