#CVE

Linux IPv4/TCP 栈的释放后重用漏洞 CVE-2026-98432 被列为 CVSS 9.8 的严重问题，受影响的是 Linux 系统，而不涉及 BSD、macOS 或 Windows。评论中引述的说明称，它并非 MPTCP 专属漏洞；通过互联网利用的可能性不高，因为许多 ISP 路由器会丢弃带 IP options 的数据包，而且成功利用需要多个 CPU 核心参与数据包处理。评论者还指出 Ubuntu 和 Red Hat 的 CVE 页面尚未列出补丁，并将自行丢弃带 IP options 的数据包描述为有帮助但不完整的缓解措施。

Node.js 项目为 26.x、24.x 和 22.x 分支发布安全更新，共修复 10 个漏洞，最高严重级别为高危（High）。其中，Brotli 解码器越界写入（CVE-2026-111497）被描述为可导致远程代码执行；另一个已报告的问题是 TLS 非规范 IP 地址处理（CVE-2026-106069、CVE-2026-106072）。此次更新还修复了 DNS 解析空字节验证（CVE-2026-105482）、TLS IP 规范化回归（CVE-2026-105483），以及 HTTP 代理、加密快照、zlib 和权限等中低严重性问题。项目建议使用最新版本，并指出已终止支持（EOL）的版本同样受这些漏洞影响。

Go 更新了 crypto/x509 的证书验证逻辑，阻止与已失陷 CA 关联的中级证书被当作可信证书接受，以修复 CVE-2026-111943 带来的中间人攻击风险。Red Hat 将该问题评为 Important，CVSS 3.1 评分为 6.8；利用该问题需要特定网络位置和由不可信中继机构签发的证书，Red Hat 称其难以被大规模滥用。报道附带的一则群友评论称，根因是印度证书机构失陷后 Go 未拦截相关证书，并非 Go 代码中存在可远程利用的漏洞；该说法来自群友，未经独立核实。