Критическая уязвимость Linux показала, что даже надёжный пароль не всегда спасает сервер. Разбираемся, что произошло, почему под угрозой оказались AI-системы и стоит ли доверять Google Cloud, Amazon AWS и Cloudflare.
В октябре 2026 года специалисты обнаружили опасную ошибку в ядре Linux. Уязвимость CVE-2026-98432 получила оценку 9,8 балла из 10.
Исследователи продемонстрировали возможность получить полный контроль над сервером удалённо. Без пароля, без авторизации и без единого действия владельца.
Для этого при определённых условиях достаточно специально подготовленного сетевого соединения.
Как можно взломать сервер без пароля?
Каждый раз, когда пользователь открывает сайт или подключается к сетевому сервису, сервер обрабатывает входящие соединения.
В Linux обнаружилась ошибка управления памятью при обработке TCP-запросов. При определённом совпадении событий система могла освободить участок памяти, который ещё использовался другим процессом обработки соединения.
Такая ошибка называется use-after-free.
Последствия могут варьироваться от аварийного завершения работы сервера до выполнения постороннего кода.
27 октября исследователи Anthropic сообщили о создании эксплойта, позволяющего получить права root на Linux-сервере с доступным MPTCP-сервисом.
Root означает практически полный административный контроль над операционной системой.
Важно: исследователи продемонстрировали успешный взлом при конкретных условиях. Это не означает, что любой сервер Linux можно гарантированно захватить одним сетевым пакетом.
Но сама ошибка затрагивает обычную обработку TCP, а не только MPTCP. Уязвимый код существовал в Linux начиная с версии 4.4.
Отдельную тревогу вызвало то, что Go начиная с версии 1.24 может автоматически задействовать MPTCP для слушающих сокетов Linux. Администратор мог даже не знать, что приложение использует этот механизм.
Почему это касается VPN?
Большинство VPN-серверов работают на Linux. Современное шифрование защищает передаваемые данные, но не исправляет ошибки операционной системы.
Если атакующий получает права root на самом сервере, он потенциально может получить доступ к конфигурациям, ключам и данным, доступным этой системе.
Поэтому надёжность VPN зависит не только от выбранного протокола, но и от безопасности серверной инфраструктуры.
Другая опасность: когда пользователь AI становится администратором
В тот же период была опубликована информация об уязвимости CVE-2026-114612 в LiteLLM — программном шлюзе для работы с различными нейросетями.
В уязвимых версиях одна криптографическая система использовалась для защиты секретов и проверки токенов авторизации.
Пользователь с ограниченными внутренними правами мог при определённых условиях подделать административную сессию и получить возможность выполнять команды на сервере через MCP.
Это не массовый взлом пользователей ChatGPT или Claude. Речь идёт о конкретном серверном программном обеспечении и определённых предварительных правах атакующего.
Но вывод важен: даже защищённая операционная система не спасёт, если приложение неправильно разграничивает права доступа.
Google Cloud, Amazon или Microsoft: кому доверять сервер?
После таких историй закономерно возникает вопрос: где размещать сайт, VPN или AI-сервис, чтобы обеспечить максимальную защиту?
Google Cloud — один из наиболее сильных вариантов.
Google обладает глобальной сетевой инфраструктурой, а Cloud Armor обеспечивает защиту от различных видов DDoS-атак. Базовые механизмы сетевой защиты работают автоматически, а расширенные возможности помогают противостоять более сложным атакам.
Amazon AWS — не менее серьёзный конкурент.
AWS Shield Standard автоматически доступен клиентам Amazon и защищает от распространённых сетевых DDoS-атак. Для дополнительных сценариев предусмотрены расширенные инструменты, включая Shield Advanced и AWS WAF.
Есть и третий крупный игрок — Microsoft Azure, предлагающий собственные механизмы сетевой защиты, мониторинга и отражения DDoS-атак.
Назвать одного безусловного победителя невозможно. У каждого провайдера есть сильные стороны, а фактическая устойчивость зависит от архитектуры и настроек конкретного проекта.
Для VPN важны не только защита и мощность серверов, но также задержка соединения, доступность IP-адресов, стоимость исходящего трафика и возможность быстро переключаться на резервный узел.
А где здесь Cloudflare?
Cloudflare заслуживает отдельного внимания.
Для обычных сайтов его проксирование позволяет фильтровать вредоносные запросы, противостоять DDoS-атакам и не раскрывать исходный IP-адрес сервера, если инфраструктура настроена правильно.
Однако стандартная защита веб-сайтов Cloudflare не означает автоматическую защиту произвольных VPN-протоколов.
Для некоторых TCP/UDP-сервисов существуют специализированные продукты, например Cloudflare Spectrum, но их возможности и доступность зависят от тарифа и протокола.
Почему даже Google Cloud не гарантирует защиту от этой ошибки Linux?
Здесь проходит принципиальная граница.
DDoS-атака и эксплуатация уязвимости ядра — совершенно разные угрозы.
При DDoS злоумышленник старается перегрузить сервер большим количеством запросов. Сетевые защитные системы могут обнаруживать такой трафик и ограничивать его.
При эксплуатации CVE-2026-98432 опасным может оказаться сравнительно небольшой объём специально подготовленного сетевого трафика.
Даже если виртуальный сервер размещён в Google Cloud или AWS, его собственная операционная система всё равно нуждается в обновлениях безопасности.
Облачный провайдер защищает свою инфраструктуру и предоставляет инструменты защиты. Но администратор обычной виртуальной машины отвечает за состояние установленного внутри неё Linux.
Что делать владельцам серверов?
Первое — проверить установленное ядро командой uname -r и сопоставить его с бюллетенем безопасности своего дистрибутива.
Второе — проверить состояние MPTCP командой sysctl net.mptcp.enabled.
Третье — установить исправления ядра и перезагрузить сервер. Временное отключение MPTCP может снизить отдельные риски, но не устраняет саму ошибку.
Четвёртое — закрыть ненужные публичные порты, ограничить административный доступ, настроить мониторинг и резервное копирование.
И наконец, предусмотреть резервный сервер у того же или другого провайдера. Отказ одного узла не должен останавливать весь сервис.
Так какие серверы лучшие?
Если речь идёт о серьёзной облачной инфраструктуре, Google Cloud, Amazon AWS и Microsoft Azure обоснованно входят в число главных кандидатов.
Для проектов, ориентированных на VPN и сетевые сервисы, Google Cloud может быть отличной основой, AWS — сильной альтернативой, а Cloudflare — дополнительным уровнем защиты сайтов.
Но лучший сервер — не обязательно самый дорогой и не обязательно принадлежащий крупнейшей компании.
Это сервер, который доступен вашим пользователям, своевременно обновляется, защищён от сетевых атак, имеет резервирование и позволяет быстро восстановить работу после сбоя.
Уязвимости Linux и LiteLLM наглядно показали: даже самая мощная инфраструктура остаётся уязвимой, если забыть об одном из её уровней безопасности.
Стеклянный мост | 4 ноября 2026 года
Источники: Linux Kernel CNA, Akamai Security Intelligence Group, AWS Security Bulletin 2026-160, GitHub Security Advisory GHSA-7hp6-4w63-5g45, документация Google Cloud Armor, AWS Shield, Microsoft Azure и Cloudflare.