☝🏻Обновите Xray: баг в Linux отдаёт root на вашем VPN-сервере Разработчики Xray выпустили срочное экстренное обновление v26.10.31: в ядре Linux нашли дыру, через которую сервер можно захватить удалённо, без пароля и без действий админа.💀 Anthropic показала, как ошибка в обработке IPv4 TCP приводит к выполнению команды от root. Эксплойт написала внутренняя модель Claude, а до root он дошёл примерно за 53 минуты.🤖 ☝🏻При чём тут Xray? Атаку показали на сервере с MPTCP (Multipath TCP), а программы на Go 1.24+ включают его по умолчанию, даже если админ об этом не знает.🤔 Проигранная гонка срывает только одну попытку соединения и не роняет систему, так что пробовать можно снова и снова. Что делать: 🔻 обновить Xray до v26.10.31, там MPTCP выключен по умолчанию (v26.10.29 уже отозвана); 🔻 обновить ядро и перезагрузиться: исправление есть в 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3. На Android риск тоже есть, если в клиенте для Socks/HTTP-входа включены подключения из локальной сети.📱 ☝🏻☝🏻Новая версия Xray только сужает поверхность атаки: сам баг сидит в ядре с версии 4.4 и затрагивает обычный TCP тоже. Оценки расходятся: 9.8 у команды ядра и 5.9 у Red Hat. О подтверждённых реальных атаках на 30 октября не сообщалось. ================ Поддержать канал можно на Boosty👁