Sophos Firewall: Hotfix för kernel-sårbarheten CVE-2026-98432
Sophos har släppt en kernel-hotfix för CVE-2026-98432. Det viktiga för driften är att en nedladdad uppdatering skyddar brandväggen först efter den nödvändiga omstarten. Den som förlitar sig på automatisk distribution av hotfixar bör därför kontrollera installationsstatusen och planera ett underhållsfönster.
Den här artikeln skiljer den tekniska sårbarheten från den konkreta uppdateringsprocessen för Sophos-enheter. Källorna granskades den 11 november 2026. Tillverkaren kan senare lägga till fler firmware-versioner på de länkade sidorna.
Vilka Sophos-versioner behöver uppmärksamhet?
Följande korrigeringar finns tillgängliga för dessa produkter och SFOS-versioner:
| Produkt / version | Tillgänglig åtgärd |
|---|---|
| SFOS 22.0 MR3 | Hotfix HF110626.1, omstart krävs |
| SFOS 23.0 GA | Hotfix HF110626.1, omstart krävs |
| SFOS 23.0 EAP1 | Hotfix HF110626.1, omstart krävs |
| Andra SFOS-versioner | Inga ytterligare målversioner för hotfixen anges i det granskade meddelandet; Sophos rekommenderar uppgradering till 22.0 MR3 eller 23.0 |
| Sophos SD-RED 20 / SD-RED 60 | Separat RED-firmware 3.0.012 |
Detta är en tabell över tillgängliga korrigeringar, inte en fullständig lista över alla sårbara byggen. Sophos publicerar där ingen heltäckande matris med den första och sista sårbara SFOS-versionen. Att en version saknas i tabellen innebär därför inte att den är säker. Det gäller exempelvis bedömningen av en installation med SFOS 21.5 eller 22.0 MR2.
Inför ett versionsbyte bör den stödda uppgraderingsvägen och hårdvarukompatibiliteten kontrolleras. Artikeln om SFOS 22.0 MR3 sätter underhållsversionen i sitt sammanhang; översikten över Sophos Firewall v23 beskriver den nya huvudversionen. För produktionssystem bör en lämplig, godkänd version väljas medvetet. Att EAP1 får en hotfix är inget skäl att byta till en förhandsversion för den här korrigeringen.
Hur kan kernel-sårbarheten utnyttjas?
CVE-2026-98432 gäller ett use-after-free-fel i Linux-kärnans IPv4-TCP-behandling. En bearbetningsväg får då åtkomst till minne som redan har frigjorts. Den bakomliggande race condition-situationen uppstår genom följande parallella förlopp:
- När en TCP-anslutning upprättas överförs IPv4-optionsdata mellan interna socket-strukturer.
- Parallellt kan en annan processorkärna behandla ett återutsänt SYN och förbereda ett SYN-ACK-svar.
- Om den tillhörande strukturen frigörs under tiden kan den parallella behandlingen fortfarande komma åt dess optionsdata.
En race condition är ett fel vars uppkomst beror på samspelet i tid mellan parallella förlopp. För ett framgångsrikt angrepp måste nätverksbehandlingen och minnets tillstånd sammanfalla på rätt sätt. En vanlig anslutningsetablering är därför i sig inget bevis på ett lyckat utnyttjande.
Under vissa förhållanden är enligt Sophos fjärrkörning av kod utan inloggning med kernel-behörighet möjlig. Den offentligt beskrivna laboratoriedemonstrationen lyckades mot en server med en Multipath TCP-lyssnare (MPTCP). Det är inget publicerat bevis på ett lyckat övertagande av en Sophos Firewall. Det går inte heller att dra slutsatsen att den bakomliggande sårbarheten försvinner bara genom att MPTCP stängs av.
Sophos klassar sitt meddelande som High och anger olika CVSS-bedömningar: 9,8 från Linux-kärnans CNA, 5,9 från Red Hat på grund av race condition-situationen. Enligt kunskapsläget i meddelandet, som senast uppdaterades den 6 november, kände Sophos inte till några offentliga rapporter om aktivt utnyttjande. Denna daterade uppgift garanterar inte att angrepp uteblir.
I praktiken bör åtkomlighet och patchstatus bedömas separat. Begränsad åtkomst till administrationen är bra, men bevisar inte att den berörda kernel-behandlingen är oåtkomlig. Inte heller en lyckad inloggning med MFA säger något om skyddet mot ett angrepp utan inloggning.
Instruktioner: installera hotfixen på brandväggen
1. Förbered underhållet
Skapa en aktuell konfigurationsbackup före ingreppet och klargör återställningsmöjligheterna. För fjärranslutna platser bör en alternativ administrationsväg eller en tillgänglig person på plats planeras in. Det är särskilt viktigt om den enda anslutningen till brandväggen går genom den VPN-tunnel som bryts vid omstarten.
Ta fram en kort lista över verksamhetskritiska anslutningar för efterkontrollen: internetåtkomst, DNS, site-to-site-VPN, fjärråtkomst och publicerade applikationer. Ett lyckat ping efter underhållet ersätter inte ett funktionstest av dessa tjänster.
Om en annan SFOS-version än de ovan angivna används behöver firmware-uppgraderingen planeras först. Handhavandet beskrivs i instruktionerna för att uppdatera SFOS-firmware. Planera uppgraderingen och hotfix-installationen som separata arbetssteg.
2. Kontrollera nedladdning och installation
Logga in i WebAdmin och leta i Control center efter meddelandet om den nedladdade kernel-hotfixen som kräver omstart.
Om automatiska hotfixar är avstängda, öppna 4 – Device Console i CLI och aktivera dem:
system hotfix enableVänta på nedladdningen. Efter en nödvändig firmware-uppgradering blir hotfixen tillgänglig först därefter; ytterligare en omstart krävs för att tillämpa den.
Starta om brandväggen under underhållsfönstret. Datatrafiken avbryts då.
Kontrollera därefter i Device Console:
system hotfix list
Det avgörande är posten HF110626.1 med status Installed. Att hotfixen bara finns med i listan räcker inte. I SFOS 23.0 kan sidan Hotfix: Security updates fortfarande vara tom trots att installationen är genomförd; Sophos hänvisar då till kontrollen via CLI.
3. Dokumentera resultatet
Som driftunderlag bör enhetsnamn, SFOS-version, underhållstidpunkt och den kontrollerade hotfix-statusen dokumenteras. Genomför därefter de förberedda anslutningstesterna. På så sätt skiljs en lyckad installation från återställd verksamhetsdrift.
Om hotfixen saknas eller statusen är oklar bör underhållet inte betraktas som avslutat. Jämför först firmware-versionen, hotfix-inställningen och nedladdningsmeddelandet med varandra. Om problemet kvarstår bör tillverkarens support kontaktas med dessa uppgifter. Upprepade omstarter utan nya insikter är ingen tillförlitlig felsökning.
HA-kluster: uppdatera båda enheterna
Sophos anger en bestämd ordning: Kontrollera nedladdningsmeddelandet på båda enheterna, starta först om Auxiliary-enheten, vänta tills den är tillbaka och starta därefter om Primary-enheten. Båda enheterna behöver hotfixen. Enligt instruktionerna är CLI-kommandot för hotfix-listan för närvarande bara tillgängligt på den aktuella Primary-enheten.
Även vid administration via Sophos Fusion måste Auxiliary-enheten tas med. Efter failover kan meddelandet visas igen eftersom det gäller den andra enheten, som nu är aktiv.
Före den andra omstarten bör det dessutom kontrolleras att partnerenheten är redo för drift igen och att klustret har en felfri status. Ett HA-par är inget skäl att utlova underhåll helt utan avbrott: failover och sessionsbeteende måste ingå i planeringen. Dokumentera båda enheterna individuellt i underhållsprotokollet och testa applikationerna genom klustret innan arbetet avslutas.
Uppdatera SD-RED 20 och SD-RED 60 separat
Brandväggens hotfix ersätter inte RED-uppdateringen. För SD-RED 20 och SD-RED 60 anger Sophos firmware 3.0.012, som släpptes den 5 november:
- Öppna Backup & Firmware > Pattern Updates i WebAdmin.
- Om SD-RED-firmware är äldre än 3.0.012, kör Update Pattern Now.
- Distribuera firmware till de anslutna SD-RED-enheterna med Install. Enheterna startas om under installationen.
För distributionen anger Sophos kraven SFOS 20.0 MR3 och senare respektive SFOS 21.0 MR1 och senare. Dessa uppgifter gäller distributionen av RED-uppdateringen och får inte förväxlas med målversionerna för brandväggens hotfix. Äldre RED-modeller vars support har upphört får inte denna korrigering.
Efter omstarten bör en applikation testas genom RED-anslutningen på varje fjärrplats. Om flera enheter används är en platslista med firmware-version och testresultat användbar: En framgångsrikt uppdaterad enhet säger inget om tillståndet på alla andra platser.
Vanliga frågor om underhållet
Räcker en omstart utan synligt hotfix-meddelande?
En omstart i sig är inget tillförlitligt installationsbevis. För att avsluta arbetet krävs en kontrollerad status för HF110626.1. Om det underlaget saknas är installationen fortfarande oklar.
Kan Linux-workarounds användas på Sophos Firewall?
För Sophos-enheter bör tillverkarens metod användas. Sophos skiljer uttryckligen sina allmänna Linux-råd från den produktspecifika åtgärden. Egna kernel-parametrar eller paketfilterändringar från en Linux-instruktion bör därför inte överföras till apparaten.
Källor
