פרצה קריטית בליבת לינוקס: ולידטורים של סולאנה נדרשים להגן על השרתים לפני שאובונטו מתקנת

Anza, חברת פיתוח תוכנה שמתמקדת בסולאנה, שלחה ב־1 בנובמבר אזהרה דחופה למפעילי הוולידטורים ברשת הראשית (mainnet-beta) ודרשה מהם לפעול מיד נגד CVE-2026-98432. מדובר בפרצה בליבת לינוקס שקיבלה ציון חומרה של 9.8 מתוך 10, ושעלולה לאפשר לתוקף להשתלט מרחוק על שרת פגיע. התיקון כבר קיים בליבת לינוקס עצמה, אבל עדיין לא הגיע לאובונטו, מערכת הפעלה נפוצה בקרב ולידטורים של סולאנה.

ולידטורים הם השרתים שמאמתים עסקאות ומפיקים בלוקים ברשת. הם גם מקבלים האצלות של מטבעות SOL מהציבור במסגרת סטייקינג, ולכן תקלה אצלם נוגעת גם למי שמעולם לא הריץ שרת. טים גרסיה, שאחראי על הקשר עם הוולידטורים בקרן סולאנה, ניסח את זה בקצרה: "ולידטורים! CVE-2026-98432 תוקנה בליבת לינוקס אבל עדיין לא באובונטו."

עד שיגיע עדכון אבטחה רשמי, גרסיה המליץ למפעילים לנקוט שלושה צעדים זמניים:

• לחסום חבילות TCP נכנסות שמכילות אופציות IPv4
• לנטרל את Multipath TCP (MPTCP), הרחבה שמאפשרת לחיבור אחד לרוץ על כמה נתיבי רשת במקביל
• לכבות את מנגנון ההעברה (migration) של request sockets ב־TCP

מה מאפשרת הפרצה ב־CVE-2026-98432

מקור הבעיה הוא שגיאה בטיפול בזיכרון בזמן עיבוד חיבורי TCP מעל IPv4. השגיאה פותחת פתח לניצול של race condition, מצב שבו שני תהליכים ניגשים לאותו משאב בסדר לא צפוי, והתוקף מנצל את חלון הזמן הזה. לפי התיאור, הניצול לא דורש פרטי התחברות ולא שום פעולה מצד משתמש בשרת.

ב־27 באוקטובר פרסמה Anthropic מחקר שבו מודל מחקר לא משוחרר של Claude פיתח ניצול שמריץ פקודות בהרשאות root על שרתי לינוקס שמפעילים MPTCP listener. ההתקפה עבדה בשני שלבים: קודם הדלפה של מידע מזיכרון הליבה, ואחר כך מניפולציה שגרמה למערכת להריץ פקודות זדוניות. לפי Anthropic, ההדגמה הגיעה להרצת פקודות מרחוק בתוך כ־53 דקות.

גישה כזו יכולה לתת לתוקף שליטה בשרת שנפגע. במקרה של ולידטור, המשמעות היא אפשרות לשבש את פעילותו ולגשת לפרטי הגישה הרגישים שנשמרים על המכונה. עם זאת, הניצול שהודגם נשען על תצורת MPTCP מסוימת. אין עדות לכך שולידטורים של סולאנה נפרצו דרך הפרצה, והמחקר לא מראה שכל ולידטור פגיע להתקפה שהודגמה.

אובונטו מאחרת, אמזון כבר עדכנה

סולאנה נמצאת במוקד בגלל דרישות החומרה והתוכנה של Anza עצמה. הדרישות מגדירות אובונטו 24.04 וחיבור IPv4 ציבורי, כלומר בדיוק הסביבה שבה התיקון עדיין חסר. החשיפה בפועל תלויה בגרסת הליבה ובהגדרות הרשת של כל שרת, ועדיין לא ידוע כמה ולידטורים רצים בתצורה פגיעה.

להגנות הזמניות יש מגבלות. Red Hat הזהירה שחסימת תעבורת IPv4 זדונית לא מבטלת את החשיפה לגמרי, ועלולה להפריע לחלק מהעומסים שרצים על השרת. ולידטור צריך להישאר מחובר לרשת כל הזמן, ולכן מפעילים יצטרכו לוודא שהחסימות לא פוגעות בתפקוד השוטף שלו.

ציר הזמן מהמחקר ועד העדכון שעוד לא הגיע

• 27 באוקטובר: Anthropic מפרסמת את המחקר על הניצול שבנה מודל Claude
• 1 בנובמבר: Anza שולחת אזהרה דחופה לולידטורים ברשת הראשית
• 2 בנובמבר: עמוד המעקב של אובונטו עדיין מסמן את ליבת 24.04 כפגיעה
• השלב הבא: התקנת גרסה 6.8.0-149.149 כשתשוחרר, אתחול השרת ובדיקה שהליבה החדשה אכן פעילה

השלב האחרון דורש תשומת לב. התקנת חבילה חדשה לא מחליפה את הליבה שכבר רצה בזיכרון, ושרת שלא אותחל ממשיך לעבוד עם הגרסה הפגיעה גם אחרי שהעדכון הותקן.

מחזיקי SOL בסטייקינג מישראל: מה לבדוק מול הוולידטור שלכם

אם אתם מאצילים SOL לולידטור, המטבעות נשארים בחשבון הסטייק שבשליטת המפתח הפרטי שלכם, והוולידטור לא יכול להעביר אותם לכתובת אחרת. הסיכון הישיר עבורכם הוא תפעולי. ולידטור שנפרץ או שמושבת לצורך תיקון מפסיק להצביע ולהפיק בלוקים, ותגמולי הסטייקינג שלכם נפגעים בתקופה הזו.

כמה צעדים מעשיים לימים הקרובים:

• בדקו בערוצים של הוולידטור שבחרתם (טוויטר, דיסקורד, אתר) אם פרסם שיישם את ההגנות הזמניות ומתי הוא מתכנן לעבור לליבה המתוקנת
• אם כל ה־SOL שלכם מואצל לולידטור אחד, שקלו לפצל בין כמה מפעילים, כך שתקלה אצל אחד לא תעצור את כל התגמולים
• אם אתם עושים סטייקינג דרך בורסה, האחריות לתשתית היא של הבורסה, אבל שווה לעקוב אחרי ההודעות שלה על השבתות
• אם אתם מריצים ולידטור בעצמכם, יישמו עכשיו את הצעדים הזמניים של גרסיה ותזמנו אתחול ברגע שאובונטו תשחרר את 6.8.0-149.149

מי שעוקבים אחרי שער הסולאנה לא צריכים לפרש את האזהרה כאירוע פריצה. לפי המידע הקיים מדובר בחשיפה פוטנציאלית, בלי עדות לכך שולידטורים נפרצו. האירוע כן מזכיר שגם רשת מבוזרת רצה על שרתים עם מערכות הפעלה רגילות, ושכדאי לעבור גם על רשימת הצעדים להגנה על נכסי קריפטו שפרסמנו.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.