Linux SCTP驚爆18年權限提升漏洞　核心團隊緊急發布修補

全球多個 Linux 發行版近日緊急修補一個潛伏長達 18 年的核心層級漏洞，編號為 CVE-2026-64564。研究人員將其命名為 SCTPhantom，屬於串流控制傳輸協定（Stream Control Transmission Protocol，SCTP）動態位址重組功能中的釋放後重用（use-after-free）漏洞。攻擊者只要先在本機取得低權限帳號，且目標系統啟用 SCTP 功能，就可能一路提升至 root 權限，甚至跳脫容器直達宿主機。

弱點成因：18 年前的位址驗證疏漏

該弱點可追溯至 2008 年發布的 Linux 2.6.25 核心，等於在主線程式碼中潛伏了 18 年。問題出在核心處理 SCTP 位址重組請求時：用於驗證刪除請求來源位址的資訊，與實際套用傳輸路徑（transport）所依據的位址不一致。攻擊者可設計一組 ASCONF 訊息序列：先以非來源位址送出刪除指令並通過驗證，進而釋放對應的傳輸路徑；接著再送出萬用刪除指令，觸發核心重用已被釋放的記憶體，形成釋放後重用漏洞。

Linux 核心 CVE 小組已於 8 月 4 日正式核發編號，SCTPhantom 則於 8 月 6 日對外公開揭露。修補程式已回溯至穩定版 7.1.6、6.18.42、6.12.101 與 6.6.148，並於 8 月 3 日一併釋出。由於此弱點僅能在本機利用，且必須在系統啟用 SCTP 功能時才會暴露風險，實際受影響範圍相對有限。

容器逃逸測試：八次嘗試六次成功

發現此弱點的騰訊朱雀實驗室（Tencent Zhuque Lab）表示，在 Debian 13、Ubuntu 24.04、Rocky Linux 9、RHEL 9 與 OpenCloudOS 等發行版的測試核心上，均成功取得 root 權限。實驗室並指出，在維持預設沙盒安全計算模式，且未授予 CAP_NET_ADMIN、CAP_SYS_ADMIN 等特殊權限位的情況下，八次容器逃逸測試中有六次成功突破邊界，直達宿主機層級。

不過，這些結果目前僅來自實驗室自行測試，尚未有第三方單位獨立重現；技術報告也未公開其使用的容器執行環境名稱。嚴重度評分同樣尚無定論：騰訊以 CVSS v4.0 評為 8.5 分，但美國國家漏洞資料庫（NVD）截至 8 月 7 日仍未給出正式評分或弱點分類。

值得留意的是，騰訊此次透過名為 Corvus AI 的多代理（multi-agent）核心研究流程找出這項弱點，這也是今年以來另一起藉助 AI 輔助分析挖出的沉睡已久核心漏洞；先前 7 月由騰訊團隊揭露的 GhostLock 即為一例。SCTPhantom 公開當日，另一項與之無關的 KVM 虛擬化逃逸漏洞 Zapscape 也一併曝光，兩者恰好由同一批於 8 月 3 日釋出的四個穩定版本一併修補完成。

修補與因應建議

各廠商往往僅回溯修補而不調整核心版本號，因此僅憑版本字串未必能判斷系統是否已受保護；管理者應以所屬發行版的官方追蹤紀錄為準。同一段程式碼中另有一個相關的釋放後重用弱點已於 8 月 6 日修補，但由於該修補在 8 月 3 日穩定版釋出後才處理，前述四個版本並未包含此額外更新，仍需留意後續修補。

建議管理者優先確認並更新至已修補版本，並重新開機使修補生效；若系統本身不需要 SCTP 功能，也可直接停用相關核心模組，從根本降低攻擊面。

本文參考 TheHackerNews。