این آسیب‌پذیری چیست؟
CVE-2026-98432 در بخش مدیریت اتصال‌های TCP روی IPv4 در هسته‌ی لینوکس قرار دارد. در این نوع نقص، بخشی از حافظه آزاد می‌شود اما برنامه همچنان به آن دسترسی می‌دهد. این مشکل در شرایط رقابتی (race condition) هنگام پردازش بسته‌های SYN حاوی گزینه‌های IPv4 رخ می‌دهد. ifin
از آنجا که Sophos Firewall بر پایه‌ی هسته‌ی لینوکس ساخته شده، این نقص می‌تواند روی آن اثر بگذارد. به همین دلیل سوفوس برای آن هات‌فیکس رسمی منتشر کرده است.
شدت آسیب‌پذیری و ریسک واقعی
امتیازدهی این آسیب‌پذیری یکدست نیست:
- مرجع CNA هسته‌ی لینوکس امتیاز CVSS 3.1 برابر 9.8 (بحرانی) داده است.
- Red Hat امتیاز 5.9 داده، چون بهره‌برداری به برنده شدن در یک race condition وابسته است.
- در شرایط خاص، مهاجم راه‌دور و بدون احراز هویت می‌تواند کد را با سطح دسترسی هسته اجرا کند. پژوهشگران اجرای فرمان از راه دور را فقط در محیط آزمایشگاهی و روی سروری با Multipath TCP (MPTCP) نشان داده‌اند.
- سوفوس گزارش عمومی از سوءاستفاده‌ی فعال از این آسیب‌پذیری ندارد.
جمع‌بندی: نیاز به اقدام فوری نیست، اما فایروال معمولاً مستقیم در معرض اینترنت است و هسته‌ی آن هدف جذابی برای مهاجمان است. هات‌فیکس را در نزدیک‌ترین پنجره‌ی نگهداری اعمال کنید.
کدام دستگاه‌ها تحت تأثیرند و راه‌حل هر کدام چیست؟
| محصول / نسخه | راه‌حل |
|---|---|
| Sophos Firewall v23.0 GA / v23.0 EAP1 / v22.0 MR3 | هات‌فیکس HF110626.1 + ری‌استارت |
| Sophos Firewall سایر نسخه‌ها | ارتقا به v22.0 MR3 یا v23.0 و دریافت هات‌فیکس |
| SD-RED 20 / SD-RED 60 | فرمور 3.0.012 از طریق Pattern Update |
سوفوس اعلام کرده در صورت انتشار هات‌فیکس برای نسخه‌های دیگر، اطلاعیه‌ی خود را به‌روز می‌کند. پس برای نسخه‌های قدیمی‌تر باید خود اطلاعیه‌ی سوفوس را هم دوره‌ای بررسی کنید.
آموزش گام‌به‌گام رفع آسیب‌پذیری در Sophos Firewall
گام ۰: آماده‌سازی
- از تنظیمات فایروال Backup بگیرید (Administration ← Backup & firmware).
- یک پنجره‌ی نگهداری هماهنگ‌شده تعیین کنید، چون ری‌استارت قطعی کوتاه ایجاد می‌کند.
- اگر فایروال‌ها به‌صورت HA کار می‌کنند، ترتیب ری‌استارت و ارتقا را از قبل برنامه‌ریزی کنید.
گام ۱: بررسی نسخه‌ی فعلی
از مسیر Administration ← Backup & firmware یا از Dashboard نسخه‌ی در حال اجرا را ببینید. سه حالت ممکن است:
- v23.0 یا v22.0 MR3: به گام ۲ بروید.
- نسخه‌ی دیگر: ابتدا طبق «گام ۵» ارتقا دهید.
گام ۲: بررسی فعال بودن نصب خودکار هات‌فیکس
اگر گزینه‌ی «Allow automatic installation of hotfixes» فعال باشد، هات‌فیکس خودکار دانلود می‌شود. این گزینه به‌صورت پیش‌فرض فعال است.
برای بررسی، به بخش Administration ← Hotfix بروید و مطمئن شوید این گزینه فعال است. (نام منو ممکن است بین نسخه‌ها کمی تفاوت داشته باشد.)
گام ۳: اطمینان از دریافت هات‌فیکس و ری‌استارت
هات‌فیکس HF110626.1 فقط پس از ری‌استارت فایروال نصب می‌شود. پس حتی با نصب خودکار، تا ری‌استارت نکنید فایروال هنوز آسیب‌پذیر است.
- چند دقیقه پس از فعال بودن نصب خودکار، مطمئن شوید هات‌فیکس دریافت شده است.
- در پنجره‌ی نگهداری، فایروال را ری‌استارت کنید (از رابط وب یا کنسول).
- منتظر بالا آمدن کامل سرویس‌ها بمانید.
گام ۴: تأیید نصب هات‌فیکس
پس از ری‌استارت، وارد کنسول فایروال شوید (Device Console یا SSH) و دستور زیر را اجرا کنید:
system diagnostics show version-infoدر خروجی، شناسه‌ی هات‌فیکس HF110626.1 باید دیده شود. جزئیات رسمی نصب و راستی‌آزمایی در مقاله‌ی سوفوس با شناسه‌ی KBA-000049730 آمده است.
گام ۵: ارتقای نسخه‌های دیگر
اگر نسخه‌ی شما v22.0 MR3 یا v23.0 نیست:
- نسخه‌ی مقصد و مسیر ارتقای مجاز را در مستندات سوفوس بررسی کنید.
- Backup کامل بگیرید.
- فرمور را از Administration ← Backup & firmware ارتقا دهید.
- پس از ارتقا، دوباره گام‌های ۲ تا ۴ را انجام دهید.
گام ۶: به‌روزرسانی دستگاه‌های SD-RED 20 و SD-RED 60
فرمور 3.0.012 در ۵ نوامبر ۲۰۲۶ به‌صورت Pattern Update منتشر شده است. Pattern Update را در فایروال مدیریت‌کننده دریافت کنید تا فرمور روی دستگاه‌های RED اعمال شود. مراحل رسمی را در مقاله‌ی سوفوس با عنوان «SD-RED Firmware 3.0.012 pattern released: Fix for CVE-2026-98432» ببینید.
اقدام‌های تکمیلی برای کاهش سطح حمله
این موارد جایگزین هات‌فیکس نیستند، اما ریسک را کاهش می‌دهند:
- WebAdmin و User Portal را از WAN ببندید و مدیریت از راه دور را فقط از طریق VPN یا Sophos Central انجام دهید.
- دسترسی SSH را به آدرس‌های مدیریتی مشخص محدود کنید.
- لاگ‌ها را بررسی کنید و رفتار غیرعادی مانند ری‌استارت‌های ناخواسته یا اتصال‌های TCP مشکوک را پیگیری کنید.
- نصب خودکار هات‌فیکس را فعال نگه دارید و برنامه‌ی ری‌استارت دوره‌ای برای اعمال آن‌ها داشته باشید.
یادآوری: توصیه‌ی غیرفعال‌سازی MPTCP در اطلاعیه‌ی سوفوس برای سیستم‌های لینوکسی است که خودتان مدیریت می‌کنید، مثل سرورها. این توصیه برای Sophos Firewall و SD-RED نیست و برای آن‌ها باید از راه‌حل‌های جدول بالا استفاده کرد.
پرسش‌های متداول
آیا قبل از نصب هات‌فیکس راهکار موقتی وجود دارد؟
خیر. سوفوس برای این آسیب‌پذیری Workaround اعلام نکرده است.
اگر نصب خودکار فعال است، باز هم باید کاری کنم؟
بله. هات‌فیکس دانلود می‌شود، ولی تا فایروال ری‌استارت نشود نصب کامل نمی‌شود.
آیا این آسیب‌پذیری در حال سوءاستفاده است؟
بر اساس اعلام سوفوس، گزارش عمومی از سوءاستفاده‌ی فعال وجود ندارد. این وضعیت ممکن است تغییر کند، پس تعلل نکنید.
آیا فایروال‌های سوفوس مبتنی بر نسخه‌های قدیمی‌تر در خطرند؟
سوفوس هنوز هات‌فیکس نسخه‌های دیگر را اعلام نکرده و ارتقا به v22.0 MR3 یا v23.0 را توصیه می‌کند.
