Kritisk Linux-sårbarhed med alvorlig risiko: Sådan lukkede vi sikkerhedshullet på vores egen Ubuntu-server

5. nov 2026 | IT nyheder

En nyopdaget sikkerhedssårbarhed i Linux-kernen har fået den højeste alvorlighedsklassifikation. Med en CVSS-score på hele 9,8 ud af 10 kan fejlen i værste fald give hackere mulighed for at overtage en sårbar Linux-server via internettet – uden brugernavn, adgangskode eller nogen handling fra serverens ejer.

Sårbarheden, der har fået betegnelsen CVE-2026-98432, påvirker blandt andet Ubuntu og Red Hat Enterprise Linux og har eksisteret i Linux-kode siden version 4.4.

Hos Vores IT afdeling ApS har vi allerede taget konsekvensen. Vi har netop gennemført en målrettet sikkerhedsopdatering af vores egen Ubuntu-produktionsserver, selv om Ubuntu på opdateringstidspunktet endnu ikke havde frigivet rettelsen gennem sin normale opdateringskanal.

Her forklarer vi, hvad fejlen betyder, hvorfor den er alvorlig, og hvordan vi gennemførte opdateringen uden at miste vores centrale serverfunktioner.

Hvad er det for en sikkerhedsfejl?

Linux er et af verdens mest anvendte operativsystemer til servere. Det benyttes blandt andet til hjemmesider, mailservere, databaser, virksomhedssystemer, cloudtjenester og netværksudstyr.

Selve Linux-kernen, også kaldet kernel, er den centrale del af operativsystemet. Den håndterer blandt andet hukommelse, hardware, processer og netværkskommunikation.

Den nyopdagede fejl findes i kernens behandling af IPv4-forbindelser via TCP, en grundlæggende netværksprotokol, som eksempelvis bruges til hjemmesider og e-mail.

Sårbarheden er teknisk set en såkaldt use-after-free-fejl.

Det betyder, at systemet under særlige omstændigheder kan forsøge at benytte et område i hukommelsen, som allerede er blevet frigivet.

Hvis en angriber kan fremkalde den situation med nøje tilpassede netværkspakker, kan resultatet blandt andet blive:

Nedbrud af serveren og utilgængelige tjenester.
Korruption af data i systemets hukommelse.
Potentiel fjernudførelse af kode (Remote Code Execution eller RCE).
I værste fald overtagelse af serveren med meget høje rettigheder.

Det særligt alvorlige er, at angrebet kan rettes mod en sårbar server, der accepterer TCP-forbindelser, uden at angriberen først behøver at logge ind.

En hjemmeside, der fungerer normalt for besøgende, kan derfor i princippet være eksponeret gennem den underliggende server – selv om selve hjemmesidens software er fuldt opdateret.

Hvorfor er denne sårbarhed så alvorlig?

Mange virksomheder forbinder IT-angreb med phishingmails, stjålne adgangskoder eller sårbare WordPress-plugins.

Denne fejl er anderledes.

Den findes ikke i en bestemt hjemmeside eller applikation, men i selve operativsystemets netværkshåndtering.

Det gør den relevant for et meget bredt udvalg af systemer.

En server kan være fuldt opdateret med hensyn til WordPress, PHP, databaser og øvrig software, men stadig være sårbar, hvis Linux-kernen ikke indeholder den nødvendige rettelse.

Samtidig har forskere demonstreret, at sårbarheden kan udnyttes til at opnå omfattende kontrol over et system. Det viser, at truslen ikke blot er teoretisk.

Der var den 5. november 2026 endnu ikke offentligt bekræftede angreb i det fri, men det er ingen garanti for, at sårbarheden ikke kan blive udnyttet.

For virksomheder er budskabet enkelt: Det er ikke nok, at hjemmesiden er opdateret. Den underliggende server skal også være det.

Red Hat har frigivet opdateringer – Ubuntu tester fortsat

Flere Linux-distributioner er berørt af CVE-2026-98432, men de befinder sig ikke nødvendigvis på samme trin i arbejdet med sikkerhedsrettelsen.

Red Hat har frigivet opdaterede kerner til Red Hat Enterprise Linux 8, 9 og 10.

Ubuntu har også gjort rettelser tilgængelige for sine nyere LTS-versioner, men pr. 5. november 2026 befinder de sig fortsat i den særlige testkanal kaldet -proposed.

Det gælder blandt andet:

Ubuntu-version	Kernel med rettelse
Ubuntu 22.04 LTS	5.15.0-203.213
Ubuntu 24.04 LTS	6.8.0-149.149
Ubuntu 26.04 LTS	7.0.0-43.43

Versionerne vedrører de almindelige kernelpakker. Andre kernelvarianter kan have andre versionsnumre.

Normalt modtager Ubuntu-servere kun opdateringer, der har gennemgået Canonicals almindelige kvalitetssikring.

Men når en kritisk sårbarhed opdages, kan en virksomhed stå med et vanskeligt valg:

Skal man vente på den almindelige frigivelse og fortsat være eksponeret? Eller skal man installere en allerede tilgængelig, men endnu ikke fuldt kvalificeret, sikkerhedsrettelse?

Der er ikke nødvendigvis ét rigtigt svar for alle virksomheder. Det afhænger af serverens funktion, eksponering, driftskrav og muligheder for gendannelse.

Hos Vores IT afdeling ApS valgte vi at handle.

Sådan gennemførte vi opdateringen på vores egen produktionsserver

Vi benytter selv en Ubuntu-server til flere centrale IT-funktioner, herunder mail- og webtjenester.

Serveren kører Ubuntu 24.04.5 LTS.

Før opdateringen benyttede den Linux-kernen:

6.8.0-147-generic

Den rettede kernel var på dette tidspunkt endnu ikke frigivet i den almindelige opdateringskanal.

Vi valgte derfor at installere den relevante sikkerhedsrettelse fra Ubuntus noble-proposed-kanal.

Men vi gjorde det ikke ved blot at aktivere testopdateringer og opgradere hele systemet.

Tværtimod gennemførte vi en kontrolleret proces.

Trin 1: Forberedelse og sikkerhedskontrol

Inden opdateringen sikrede vi os, at der var mulighed for at gendanne serveren ved problemer.

Det omfattede blandt andet kontrol af backup, tilgængelig diskplads og mulighed for fysisk adgang til serveren.

Vi undersøgte også, hvilke pakker opdateringen ville ændre.

Dette er særligt vigtigt på en produktionsserver, hvor eksempelvis mail, hjemmesider og databaser kan blive påvirket af en fejlbehæftet opdatering.

En kernelopdatering kræver normalt genstart, og derfor skal eventuel nedetid planlægges.

Trin 2: Kontrollér den eksisterende kernel

På en Ubuntu-server kan man se den aktive kernel med:

uname -r

Kommandoen fortæller, hvilken Linux-kernel serveren aktuelt benytter.

Det er vigtigt at kontrollere både før og efter en opdatering, fordi en installeret kernel ikke nødvendigvis er den kernel, serveren kører.

Trin 3: Aktivér den relevante Ubuntu-testkanal

På vores Ubuntu 24.04 LTS-server gjorde vi den officielle -proposed-kanal midlertidigt tilgængelig:

sudo add-apt-repository --component main --pocket proposed https://archive.ubuntu.com/ubuntu

Derefter opdaterede vi pakkelisterne:

sudo apt update

Denne kanal indeholder software, som endnu ikke nødvendigvis er færdig med den normale kvalitetssikring.

Derfor skal man ikke ukritisk opgradere alle pakker fra denne kanal på en produktionsserver.

Vores mål var udelukkende at installere den nødvendige kernelrettelse.

Trin 4: Test af opdateringen før installation

Inden vi gennemførte installationen, benyttede vi APT's simuleringsfunktion.

På vores server var den relevante kommando:

sudo apt -s install -t noble-proposed --only-upgrade linux-generic linux-image-generic linux-headers-generic

Parameteren -s betyder, at handlingen simuleres, uden at systemet ændres.

På den måde kunne vi se, hvilke pakker der ville blive opdateret, og hvilke afhængigheder der ville blive installeret.

En sådan kontrol er vigtig, fordi den kan afsløre uventede ændringer, før de påvirker driften.

Trin 5: Installation af den rettede kernel

Da vi havde gennemgået opdateringsplanen, installerede vi de målrettede kernelpakker:

sudo apt install -t noble-proposed --only-upgrade linux-generic linux-image-generic linux-headers-generic

Herefter kontrollerede vi installationen og gennemførte den nødvendige genstart:

sudo reboot

Det er først efter genstarten, at den nye Linux-kernel normalt bliver taget i brug.

Trin 6: Kontrol af resultatet

Efter genstarten kontrollerede vi igen den aktive kernel:

uname -r

Resultatet var:

6.8.0-149-generic

Det er kerneludgaven, der svarer til den rettede Ubuntu 24.04-pakke 6.8.0-149.149, som Canonical har gjort tilgængelig for CVE-2026-98432.

Vi kontrollerede samtidig de centrale tjenester på serveren.

Mailtjenester, webserver, database, DNS og administrationssoftware var fortsat aktive.

En kontrol af systemets fejlede systemd-enheder viste desuden:

0 fejlede enheder.

Det betyder ikke, at enhver tænkelig funktion automatisk er testet, men det dokumenterede, at serverens centrale services var startet efter kernelopdateringen.

Trin 7: Fjernelse af testkanalen

Endelig fjernede vi den midlertidigt tilføjede -proposed-kanal.

Det sikrer, at serveren ikke fremover risikerer utilsigtet at hente andre testopdateringer, blot fordi kanalen blev anvendt til denne ene sikkerhedsrettelse.

Den installerede kernel fortsætter med at fungere, selv om testkanalen fjernes.

Resultatet: Vores egen Ubuntu-produktionsserver kører nu den rettede kernel, og de centrale tjenester er kontrolleret efter genstart.

Kan man beskytte sig uden at opdatere?

Red Hat har offentliggjort en midlertidig netværksbaseret afværgeforanstaltning med firewallværktøjet nftables.

Metoden blokerer indgående IPv4 TCP-pakker, som indeholder særlige IP-headerindstillinger, der kan bruges til at udløse sårbarheden.

Det kan reducere angrebsfladen, men er ikke en fuldstændig løsning og kan påvirke systemer, der anvender disse netværksfunktioner.

Derudover har nogle anbefalet at deaktivere Multipath TCP (MPTCP).

Men Canonical understreger, at sårbarheden ikke er begrænset til MPTCP, og at deaktivering af denne funktion derfor ikke er tilstrækkelig beskyttelse.

Den egentlige løsning er at installere en kernel, hvor sikkerhedsfejlen er rettet.

På produktionsservere bør det ske på baggrund af leverandørens dokumentation, en konkret risikovurdering og en plan for gendannelse, hvis opdateringen skaber problemer.

Hvad bør danske virksomheder gøre nu?

Det er ikke kun store hostingfirmaer og datacentre, der bør interessere sig for denne type sårbarhed.

Også mindre virksomheder kan have Linux-baserede systemer uden at være opmærksomme på det.

Det kan eksempelvis være en webserver, en lokal filserver, en NAS, et overvågningssystem eller en specialudviklet virksomhedsapplikation.

Vi anbefaler derfor følgende:

Skab overblik over jeres servere. Find ud af, hvilke systemer der benytter Linux, og hvem der har ansvaret for opdateringer.
Kontrollér operativsystem og kernel. Brug eksempelvis uname -r på Ubuntu og sammenhold versionsnummeret med den konkrete distributions sikkerhedsmeddelelser.
Undersøg om systemet er eksponeret mod internettet. Servere med offentligt tilgængelige tjenester bør have særlig opmærksomhed.
Sørg for en brugbar backup. En backup er først rigtig værdifuld, når det er muligt at gendanne systemet fra den.
Installér relevante sikkerhedsrettelser. Brug leverandørens anbefalede opdateringskanal. Tidlig installation fra testkanaler bør kun gennemføres efter en konkret risikovurdering.
Kontrollér driften efter genstart. En vellykket installation er ikke det samme som en vellykket opdatering af en produktionsserver.

Og husk: Linux er ikke automatisk sikkert, blot fordi det er Linux. Alle operativsystemer skal vedligeholdes.

Cybersikkerhed handler også om at handle i tide

Hos Vores IT afdeling ApS arbejder vi med drift, vedligeholdelse, udvikling og sikkerhed af IT-løsninger.

Vores egen håndtering af CVE-2026-98432 illustrerer en vigtig pointe:

God IT-sikkerhed handler ikke kun om at kende de nyeste sårbarheder. Den handler også om at forstå risikoen, vælge den rigtige løsning og gennemføre ændringerne på en måde, der tager hensyn til virksomhedens fortsatte drift.

Vi valgte at prioritere en kontrolleret sikkerhedsopdatering frem for at afvente den almindelige Ubuntu-frigivelse.

Det gjorde vi med forberedelse, målrettet installation og efterfølgende kontrol.

For en mindre virksomhed uden egen IT-afdeling kan netop den type beslutninger være vanskelige.

Er du usikker på, om virksomhedens servere, hjemmesider eller øvrige IT-systemer er opdaterede og tilstrækkeligt beskyttede?

Så hjælper Vores IT afdeling ApS gerne med at skabe overblik, identificere risici og finde en løsning, der passer til virksomhedens behov.

Vores IT afdeling ApS – professionel IT-hjælp med fokus på sikkerhed, stabilitet og løsninger, der virker.

Læs mere på voresitafdeling.dk.

Kilder og yderligere information

Artiklen er baseret på offentligt tilgængelige sikkerhedsmeddelelser pr. 5. november 2026 samt vores egen gennemførte Ubuntu-opdatering. Oplysninger om versioner og tilgængelige sikkerhedsrettelser kan ændre sig efter publiceringen. De viste kommandoer beskriver vores konkrete opsætning og bør ikke køres ukritisk på andre produktionssystemer.