Dringend: TurnKey-Server prüfen und neu starten

Eine schwere Sicherheitslücke im Linux-Kernel, CVE-2026-98432, ermöglicht es Angreifern unter bestimmten Bedingungen, einen betroffenen Server über das Netzwerk zu übernehmen, ohne Passwort oder Mitwirkung seiner Benutzer.

Sicherheitsupdates stehen für TurnKey Linux 18 und 19 bereit. Die automatischen Sicherheitsupdates von TurnKey haben die Korrektur möglicherweise bereits installiert. Ein Neustart aktiviert den aktualisierten Kernel. Bitte prüfen Sie alle TurnKey-Server, die Sie betreuen.

Warum das wichtig ist

Der Kernel ist der Kern des Betriebssystems. Er verwaltet Arbeitsspeicher, Hardware und Netzwerkverbindungen.

Forscher haben einen Angriff demonstriert, der über das Netzwerk vollständige Administratorrechte ermöglicht. Damit könnten Angreifer Datenbanken und Zugangsdaten stehlen, Dateien ändern oder löschen, Schadsoftware installieren und weitere Systeme angreifen. Die Lücke kann auch Abstürze verursachen und Speicherinhalte offenlegen. AWS-Sicherheitshinweis

Der demonstrierte Angriff nutzte Multipath TCP. Der zugrunde liegende Fehler betrifft die TCP-Verarbeitung auch darüber hinaus. Aktualisieren Sie deshalb alle betroffenen Server. Technische Analyse von Akamai

Wird die Lücke ausgenutzt?

Forscher berichteten am 27. Oktober von einer erfolgreichen Fernübernahme. AWS meldete in seinem am 6. November aktualisierten Hinweis keine beobachteten Angriffe. Die Möglichkeit einer Fernübernahme macht das Update dringend, besonders für Server, die aus dem Internet erreichbar sind. Forschungsbericht, AWS-Hinweis

1. Laufenden Kernel prüfen

Öffnen Sie die Serverkonsole oder verbinden Sie sich per SSH und geben Sie ein:

uname -v

Suchen Sie die Versionsnummer direkt nach Debian, zum Beispiel:

... Debian 6.12.116-1 (...)

Erfüllt Ihr laufender Kernel diese Anforderung, ist die Sicherheitslücke auf Ihrem Server geschlossen.

Einige TurnKey-18-Installationen nutzen Debians alternativen 6.12-Kernel. Sie benötigen 6.12.113-1~deb12u1 oder eine neuere Version dieser Reihe. Bei anderen Kerneln lassen Sie die Ausgabe von Ihrem Hosting-Anbieter oder in unserem Forum prüfen. Die Versionsangaben stammen aus Debians Security Tracker.

Proxmox und LXC: Container verwenden den Kernel ihres Hosts. Bitten Sie den Host-Administrator, den Host nach den Anweisungen seines Anbieters zu aktualisieren und neu zu starten.

2. Bei älterem laufendem Kernel neu starten

TurnKey installiert standardmäßig Sicherheitsupdates automatisch. Der korrigierte Kernel wartet möglicherweise bereits auf einen Neustart.

Sorgen Sie für eine aktuelle Sicherung und planen Sie eine kurze Unterbrechung ein. Melden Sie sich als root an und führen Sie aus:

reboot

Die SSH-Verbindung wird geschlossen. Verbinden Sie sich nach dem Neustart erneut und führen Sie uname -v aus. Entspricht die Version der Tabelle, ist die Korrektur aktiv. Prüfen Sie anschließend Ihre Anwendung.

3. Bei weiterhin älterem Kernel Sicherheitsupdates installieren

Führen Sie als root aus:

turnkey-install-security-updates

Warten Sie, bis die Updates erfolgreich abgeschlossen sind. Starten Sie dann neu:

reboot

Verbinden Sie sich erneut, prüfen Sie uname -v und testen Sie Ihre Anwendung.

Bei Updatefehlern oder weiterhin älterem Kernel bitten Sie um Hilfe. Nennen Sie Ihre TurnKey-Version und fügen Sie die Ausgabe von uname -v sowie Fehlermeldungen bei.

TurnKey 17 oder älter? Dringend aktualisieren

TurnKey 18 basiert auf Debian 12, das bis Juni 2028 langfristige Sicherheitsunterstützung erhält. TurnKey 19 verwendet Debian 13. Für beide ist die Korrektur verfügbar.

Die reguläre Langzeitunterstützung für Debian 11, die Basis von TurnKey 17, endete am 31. August 2026. Weitere Debian-11-Sicherheitsupdates erfordern gesondert vereinbarten erweiterten Support. Migrieren Sie ältere Installationen so bald wie möglich auf eine aktuelle, unterstützte TurnKey-Version. Debian 12, Debian 11

Halten Sie auch Anwendungen und Plugins aktuell. Manche Anwendungen haben ein eigenes Upgrade-Verfahren; folgen Sie der jeweiligen Anleitung.

Wenn Ihr Server kompromittiert wurde

Isolieren Sie den Server und setzen Sie ihn mit einem vertrauenswürdigen, aktuellen TurnKey-Image neu auf. Installieren Sie Sicherheitsupdates auf dem neuen System. Ersetzen Sie offengelegte Passwörter, API-Schlüssel und weitere Zugangsdaten von einem vertrauenswürdigen Gerät aus.

TurnKey Backup and Migration (TKLBAM) erleichtert den Neuaufbau. Es sichert Ihre Änderungen am ursprünglichen TurnKey-System, einschließlich Daten, Konfiguration und Paketauswahl. Diese Änderungen können Sie auf einer frischen Installation derselben TurnKey-Anwendung wiederherstellen. Beim Wechsel zwischen Hauptversionen können zusätzliche Schritte für Ihre Anwendung nötig sein.

Wählen Sie eine Sicherung von vor dem Einbruch und prüfen Sie die wiederhergestellten Dateien und Einstellungen. Sicherungen nach einem Einbruch können Änderungen des Angreifers enthalten. Bei unklarem Zeitpunkt lassen Sie die Daten vor der Wiederherstellung prüfen.

Mit einem kostenpflichtigen TurnKey-Hub-Tarif können Sie uns um Hilfe bitten. Nutzen Sie den Support im Hub oder schreiben Sie von der E-Mail-Adresse Ihres Hub-Kontos an support@turnkeylinux.org.