Ubuntu 至今仍未为 Linux 0day RCE 发布补丁，已近 3 周
Ubuntu 因在一个关键的 Linux 远程代码执行漏洞（CVE-2026-98432）上近三周才推出稳定内核补丁而遭到批评，尽管其他主要发行版已经发布了修复。评论者一方面权衡 Canonical 更慢、但测试更充分的发布流程，另一方面担忧这一被公开广泛讨论、可通过网络利用的漏洞所带来的风险和观感问题；同时还分享了 iptables/nftables 等临时缓解措施，以及对未打补丁的消费级路由器的担忧。这一事件促使一些管理员重新考虑将 Ubuntu 换成 Debian 或其他系统，也重新引发了对 Canonical 沟通方式的批评，并因 Freenode.net 的争议性所有权而让人们对其作为来源的可靠性产生怀疑。
Ubuntu 延迟打补丁及其流程
- 许多人对 Ubuntu 的 LTS 内核在数周内仍未打补丁感到沮丧，而其他发行版（例如 RHEL、Debian、Gentoo、MikroTik、OpenWRT）已经发布了修复。
- Ubuntu 在 “proposed” 软件仓库中已有修复，但据称这些修复会给某些衍生版带来回归问题，这或许解释了其谨慎态度。
- 有人认为，Ubuntu 复杂的内核变体以及需要进行广泛测试，足以证明其较慢的发布节奏；也有人则认为，官僚流程和“治理层”人士才是阻碍。
- Ubuntu 缺乏清晰、主动的沟通，这是一个反复被提到的问题。
缓解策略及其局限性
- 多条评论分享了 iptables/nftables 规则，用于丢弃带有 IP 选项的 IPv4 TCP 数据包（在
raw PREROUTING中），或更普遍地阻止带选项的入站/出站流量。 - 讨论中还提到禁用 MPTCP 作为另一种缓解措施。
- RHEL 等明确表示，这些措施只能“降低暴露面”，无法完全阻止利用。
- 讨论的原因包括：本地恶意进程、链式利用（应用层 RCE → 通过 loopback 获得内核 RCE）、eBPF 绕过 netfilter，以及独立的网络命名空间（容器、Firejail）。
- 默认的“拒绝所有入站”防火墙并不能从根本上解决问题，因为漏洞存在于通常过滤规则之前的 TCP 连接处理阶段。
可利用性与现实风险
- 一些拥有大量未打补丁服务器的管理员表示，他们没有观察到攻击，并认为风险被夸大了，理由是该漏洞的竞态条件很窄，而且 IP 选项的使用非常少见。
- 另一些人反驳说，没有可见事件并不等于安全，并引用了此前那些在一段延迟后才出现的蠕虫。
- 蜜罐和数据包计数的轶事表明，现实世界中 IP 选项数据包极少，但这些数据只是零散的，且并不完整。
对发行版选择与信任的影响
- 一些用户表示，这次事件足以让他们未来把部署从 Ubuntu 转向 Debian 或其他发行版，因为他们认为志愿者比商业厂商做得更好。
- 另一些人则回应说，许多抱怨者并没有为 Ubuntu 付费，因此他们的预期可能并不匹配。
Freenode.net 作为来源
- 多条评论警告称，在敌意接管之后，freenode.net 已不再是社区 IRC 网络，并被视为对开源不友好。
- 有些人对 HN 竟然链接到它感到惊讶，并建议将其视为不可信、带有偏见的来源。
路由器、IoT 与替代平台
- 人们担心，大多数消费级路由器/AP 运行的是未打补丁、非常老旧的 Linux 内核，而且几乎没有固件更新。
- 缓解措施包括使用 OpenWRT、Turris、MikroTik、由 ISP 管理更新，或运行自定义路由器（例如基于 Debian 或 BSD）。
- 有人认为，专用网络操作系统以及 HardenedBSD/FreeBSD 部署表明，Linux 并不总是高价值目标的最佳内核。