Kritická chyba v jadre Linuxu: čo znamená pre váš web a hosting

Národný bezpečnostný úrad 30. októbra 2026 varoval pred kritickou zraniteľnosťou TCP v jadre Linuxu. Na Linuxe beží väčšina webových serverov, a teda aj veľká časť firemných webov a e-shopov na WordPresse. Chyba nie je vo WordPresse, v WooCommerce ani v pluginoch. Je v operačnom systéme servera. Aktualizáciou v administrácii webu ju preto neopravíte. Opraviť ju musí ten, kto spravuje server: hosting alebo váš správca.

V článku vysvetlíme, čo sa stalo, prečo sa to týka webov a čo urobiť bez technických znalostí. Žiadne príkazy do terminálu, len otázky, ktoré položíte hostingu.

Krátka odpoveď

• Chyba má označenie CVE-2026-98432. Tím, ktorý spravuje bezpečnostné hlásenia jadra Linuxu, ju hodnotí závažnosťou 9,8 z 10 (NVD).
• Týka sa serverov, ktoré prijímajú spojenia z internetu cez IPv4 TCP. Webový server je presne taký prípad.
• Výskumníci predviedli v laboratóriu, že útočník môže na zraniteľnom serveri bez hesla získať plné práva správcu (root). Ďalšie možné následky sú pád servera alebo únik či poškodenie údajov v pamäti.
• Opraviť to musí hosting: nainštalovať opravené jadro a server reštartovať. Kým oprava pre daný systém nie je, NBÚ odporúča dočasné opatrenia na firewalle.
• Vy urobte toto: opýtajte sa hostingu alebo správcu, či má jadro opravené a server reštartovaný, a majte čerstvú zálohu webu.

Čo sa stalo

Chyba je v časti jadra Linuxu, ktorá vybavuje nové prichádzajúce spojenia. Keď sa na server pripája návštevník, prehliadač a server si najprv „podajú ruky“ cez protokol TCP. Útočník môže poslať špeciálne upravené žiadosti o spojenie a pri súbehu viacerých operácií jadro siahne do pamäte, ktorú už uvoľnilo (odborne use-after-free). Aplikácia na serveri nemusí nič zvláštne zapínať, chyba nastáva skôr, než spojenie vôbec príde k webu.

Zraniteľnosť bola zverejnená už 15. októbra 2026 (oznámenie tímu jadra Linuxu). Vtedy sa podľa NBÚ predpokladalo, že má oveľa menší dopad. To sa zmenilo 27. októbra, keď výskumníci zo spoločnosti Anthropic v laboratóriu predviedli, že cez ňu vedia na diaľku získať práva roota. Ich ukážka mierila na server so zapnutou funkciou MPTCP (rozšírenie TCP). NBÚ však zdôrazňuje, že chyba sa neobmedzuje len na MPTCP a jeho vypnutie riziko úplne neodstráni. Podľa BleepingComputer sa chyba týka aj bežných TCP spojení, hoci spustenie kódu bez MPTCP zatiaľ verejne predvedené nebolo.

K 30. októbru podľa NBÚ vzniklo viacero ukážok zneužitia, žiadna jemu známa však zatiaľ nezverejnila plne funkčný kód. Univerzálne znaky, podľa ktorých by sa dal útok spoľahlivo spoznať, zatiaľ nie sú. O varovaní informovala aj TASR.

Prečo sa to týka webstránok

Web nie je len WordPress. Pod ním je webový server, PHP, databáza a úplne dole operačný systém. Na webových serveroch je to najčastejšie Linux. Podľa W3Techs používa Linux 63,3 % webov, pri ktorých sa dá operačný systém zistiť (stav k 31. 10. 2026). Do širšej skupiny Unix, kam Linux patrí, zaraďuje W3Techs 92,2 % webov. Pri mnohých weboch sa presný systém zvonka zistiť nedá, takže skutočný podiel Linuxu môže byť iný. Aj tak platí, že viac ako polovica webov so známym systémom beží na Linuxe.

NBÚ medzi potenciálne zasiahnuté systémy priamo uvádza webové a e-mailové servery a VPN servery. Ohrozený je systém, ktorý prijíma TCP spojenia z internetu. Bežné odchádzajúce spojenia, napríklad keď váš počítač otvára cudzí web, problém nie sú. Chyba sa týka IPv4, nie IPv6.

Zraniteľné sú jadrá Linuxu od verzie 4.4, ktorá vyšla začiatkom roka 2016, až po opravené verzie. Čo by to znamenalo pre web? Ak útočník získa práva roota, ovláda celý server: súbory webu, databázu s objednávkami a kontaktmi zákazníkov aj e-maily. Na zdieľanom hostingu by išlo o všetky weby na danom serveri naraz.

Web na zdieľanom hostingu

Väčšina firemných webov a menších e-shopov beží na zdieľanom hostingu. K jadru servera tam nemáte prístup a ani ho nepotrebujete. Opravu musí nasadiť hosting a server reštartovať. Vy si overte, že sa to stalo.

Vlastný server alebo VPS

Ak máte VPS alebo vlastný server, jadro spravujete vy alebo ten, koho ste si na to najali. Poskytovateľ VPS obvykle opraví len svoju infraštruktúru, nie systém vo vašom serveri. Ak neviete, kto váš server spravuje, je to teraz najdôležitejšia otázka.

Nie každá distribúcia má opravu hneď

Opravené verzie jadra vydal tím Linuxu (napríklad 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 a 7.2.10). Hostingy však zvyčajne používajú jadro od svojej distribúcie a tá musí opravu pripraviť zvlášť. NBÚ k 30. októbru uvádza tento stav:

Distribúcia	Stav opravy podľa NBÚ k 30. 10. 2026
Debian	Opravené balíky pre Bookworm aj Trixie sú dostupné
Ubuntu	Pre verzie 22.04, 24.04, 26.04 a 26.10 záplata zatiaľ nie je
Red Hat (RHEL 8, 9, 10)	Zraniteľné, vydanie opráv je odložené
AlmaLinux, Rocky Linux	Sledovať oznámenia výrobcu
CentOS Linux	Aktualizácie už nedostáva

Tabuľku môžete posunúť do strany.

Red Hat chybu vedie ako kritickú a píše, že vydanie opráv urýchľuje (Red Hat RHSB-2026-016). AlmaLinux 30. októbra zverejnil opravené jadrá zatiaľ v testovacom repozitári (AlmaLinux). Stav sa mení zo dňa na deň.

Pre majiteľa webu z toho plynie jedno: „čakáme na distribúciu“ je dnes legitímna odpoveď hostingu. Nemala by však znamenať, že sa nič nedeje. Kým oprava nie je, NBÚ odporúča blokovať na firewalle pakety s takzvanými IPv4 voľbami a obmedziť TCP služby len na dôveryhodné zdroje. Red Hat dodáva, že takéto filtrovanie riziko znižuje, ale nenahrádza opravu.

Čo urobiť

1. Zistite, kto váš server spravuje

Je to hosting, agentúra, freelancer alebo kolega z IT? Ak sa o web stará niekto iný ako hosting, pošlite mu odkaz na varovanie NBÚ a dohodnite sa, kto bude s hostingom komunikovať.

Vaša situácia	Koho kontaktovať	Čo sa opýtať
Web na zdieľanom hostingu	Podporu hostingu	Je jadro opravené a server reštartovaný? Ak nie, aké dočasné opatrenie platí a kedy bude oprava?
Web spravuje agentúra alebo freelancer	Správcu webu	Overil u hostingu stav opravy? Kto to sleduje?
VPS alebo vlastný server	Toho, kto server spravuje	Je nasadené opravené jadro od distribúcie a bol reštart? Ak oprava ešte nie je, je zapnuté filtrovanie na firewalle?
Neviete, kto server spravuje	Hosting, u ktorého platíte doménu alebo server	Kto je zodpovedný za aktualizácie systému?

Tabuľku môžete posunúť do strany.

2. Napíšte hostingu

Stačí táto správa, doplňte len doménu:

Dobrý deň,

NBÚ 30. 10. 2026 varoval pred kritickou zraniteľnosťou jadra Linuxu CVE-2026-98432 (https://www.nbu.gov.sk/kriticka-zranitelnost-tcp-v-jadre-linux/). Môj web [vaša doména] beží na vašom hostingu. Prosím o potvrdenie:

1. Je na serveri s mojím webom nasadené opravené jadro a bol server po aktualizácii reštartovaný?
2. Ak oprava pre váš systém ešte nie je dostupná, aké dočasné opatrenie máte nasadené a kedy plánujete opravu?

Ďakujem.

Dôležitý je reštart. Nové jadro začne platiť až po reštarte servera, samotné stiahnutie aktualizácie nestačí. Ak hosting nevie odpovedať ani dať termín, berte to ako signál, že je čas zvážiť iný hosting.

3. Majte čerstvú zálohu

Záloha túto chybu neopraví, ale ak by sa niečo stalo, je to vaša poistka. Spravte si zálohu podľa nášho návodu ako zálohovať WordPress a staré zálohy teraz neprepisujte. Ak by sa ukázalo, že server niekto napadol, budete potrebovať zálohu spred útoku.

4. Aktualizujte WordPress aj tak

Aktualizácia WordPressu, pluginov a témy túto chybu neodstráni, pretože je o úroveň nižšie. Útočníci však využijú akékoľvek slabé miesto. Udržiavaný web s aktuálnymi pluginmi je menší terč, nech je chyba kdekoľvek.

Hosting DigitalMinds: dočasné opravy medzi prvými

Prevádzkujeme WordPress hosting a bezpečnosť serverov riešime za klientov. Hneď ako sme sa o tejto zraniteľnosti dozvedeli, medzi prvými sme na naše servery nasadili dočasné opravy. Hneď ako vyjdu oficiálne security patche, servery aktualizujeme. Naši klienti o nič žiadať nemusia.

Balíky stoja 2,99 €, 3,99 € a 9,99 € mesačne. Komfort má denné zálohy, Enterprise hodinové. Ak chcete hosting aj aktualizácie WordPressu v jednom, je tu údržba s hostingom za 79 € mesačne. Podrobnosti nájdete na stránke web hosting.

Ak váš web beží inde a neviete, či je server opravený, pomôžeme. Poradíme, čo sa opýtať hostingu, a ak treba, web presťahujeme k nám. Termín sťahovania povieme podľa veľkosti webu. Dohodnite si bezplatnú 30-minútovú konzultáciu. Na dopyty odpovedáme v pracovné dni do 24 hodín.

Časté otázky

Opraví to aktualizácia WordPressu?

Nie. Chyba je v jadre operačného systému servera, nie vo WordPresse. Opraviť ju musí hosting alebo správca servera.

Mám malý web, týka sa ma to?

Ak beží na Linuxe a server ešte nemá opravu, áno. Útok mieri na server, nie na obsah webu. Veľkosť webu nerozhoduje.

Pomôže, ak hosting vypne MPTCP?

Čiastočne. Vypnutie MPTCP odstráni nastavenie, na ktoré mierila predvedená ukážka. NBÚ však píše, že ho nemožno považovať za úplné odstránenie rizika. Úplné riešenie je opravené jadro a reštart.

Ako zistím, či môj web beží na Linuxe?

Najjednoduchšie je opýtať sa hostingu. Väčšina zdieľaných hostingov pre WordPress beží na Linuxe. Zistiť to sami z administrácie webu nemusíte.

Kde nájdem oficiálne informácie?

V slovenčine vo varovaní NBÚ, ktoré je aj na sk-cert.sk. V angličtine v oznámení tímu jadra Linuxu a v bulletine Red Hat.

Zdroje

• NBÚ: Kritická zraniteľnosť TCP v jadre Linux (30. 10. 2026), tiež na sk-cert.sk
• Linux kernel CVE team: CVE-2026-98432 (15. 10. 2026)
• NVD: CVE-2026-98432 (CVSS 9,8 od kernel.org)
• Red Hat: RHSB-2026-016
• AlmaLinux: CVE-2026-98432: Patched kernels available in testing (30. 10. 2026)
• BleepingComputer: Critical Linux kernel flaw allows remote root attacks on MPTCP servers
• TASR: NBÚ varuje pred zraniteľnosťou operačného systému Linux (30. 10. 2026)
• W3Techs: Usage statistics of Linux for websites (31. 10. 2026)