一個 CVSS 9.8 分的 Linux 核心漏洞曝光近三週，Ubuntu 全版本仍標示易受攻擊，Debian 等志工維護的發行版早已修好。部落格文章〈WTF Ubuntu?〉為此開火，在 HN 單日衝破千分、累積近六百則留言，焦點早已超出單一漏洞，變成 Canonical 十年積怨的總清算。
事件背景
- CVE-2026-98432：Linux 核心 TCP 程式碼的遠端漏洞，CVSS 9.8，自 2016 年起存在，幾乎影響所有 Linux 伺服器。Anthropic 稱已做出可用的提權攻擊手法。
- Debian 於 2026 年 10 月 16 日釋出修補；Ubuntu 至 11 月 2 日仍無正式修補，修好的核心停在 proposed 倉庫，未推送給使用者。
- 緩解方式：關閉 MPTCP（
sudo sysctl -w net.mptcp.enabled=0），或以 iptables 封鎖 IP 選項。
全文翻譯
_原文發表於 2026 年 11 月 2 日，作者對 Canonical 開火。以下為繁中翻譯。_
Ubuntu 到底在搞什麼？
如果你還沒聽說：CVE-2026-98432 是 Linux 核心 TCP 程式碼裡的重大漏洞（CVSS 9.8）。它從 2016 年就存在，全球幾乎每一台 Linux 伺服器都有這個問題，且可遠端觸發。Anthropic 說它已做出可用的攻擊手法，能直接拿到伺服器的 root 權限、全面接管。
Debian 在 10 月 16 日就修補了。Ubuntu 超過兩週後依然沒修，每個受支援版本（含 LTS）都被列為「易受攻擊」。
Ubuntu 官網承諾「及時修補重大漏洞」。一個被評為 9.8、已有可用 root 攻擊手法六天的漏洞，九天過去還沒修。這可真是「及時」。
軟體業充斥這種空洞詞藻，Ubuntu 尤其愛用：「及時」「企業級」「生產等級」「企業韌性、開發者速度，在 Ubuntu 上安心建構」。
一定是有人——或更慘，Canonical 有個專門團隊——整天寫這種東西……
所以我再問一次：Ubuntu 到底在搞什麼？
我要把所有伺服器搬離 Ubuntu，徹底失去信任。桌面版我本來就討厭，伺服器用它純粹因為多數 VPS 預設提供，我原以為它是穩重、無 drama 的 LTS 發行版。現在去他的。
說真的這太誇張。我得知此事時根本沒時間遷移服務和資料，只能先把 Ubuntu 機器全部下線。
順帶一提：志工維護的發行版（Debian、Arch 等）都修好了，賣安全訂閱的 Ubuntu 反而沒修。以上為 2026-11-02 14:48 UTC 現況。
網友討論整理
_HN 討論串 50337608，1344 分、586 則留言、122 則頂層（2026-11-03 抓取）。以下整理自 80 則留言抽樣底稿。_
全串最大共識：這不是單一 CVE 的問題，是累犯的總清算——snap、Ubuntu Pro 付費牆、Launchpad 不回應、PHP 與 ZFS 修補屢次落後，全部被翻出來一起算。
嚴重性攻防：9.8 分與 EPSS 低於 1% 的對撞
@alentred 是全串最冷靜的反方：漏洞雖是 critical 等級，但 EPSS 分數低於 1%，最壞情況或只是核心崩潰或阻斷服務，「Anthropic 說詞與各方評估兜不攏」。@imjonse 補上 Ubuntu CVE 頁的影響評估——機密性 Low、完整性 Low、可用性 High，認為這偏向阻斷服務而非全面接管。
但 @BoppreH 抓到最刺眼的一處：Ubuntu 安全頁把此漏洞標為 High，理由只寫了兩行字「See ubuntu cvss score」，連評估邏輯都不願寫。@dabinat 則承認語氣歸語氣，重點仍是「連付費使用者都拖」很難看。
不只 Ubuntu 慢，但怒火只澆在 Canonical 身上
@pixelesque 與 @InsidiousWombat 指出 RHEL 同樣數週未更新。這條反駁沒救到 Canonical，反被 @bortimus 一句打回：「AWS 都在發 Amazon Linux 2 的修補了，Ubuntu 還在等？」@throw0101c 補充技術事實：核心修補程式早已進入各 LTS 的 proposed 倉庫，只是預設不會推送——換言之「有修補，但不放出來」，在社群眼中比「沒修補」更難辯護。
溝通失敗大於技術失敗
@vanschelven 描述自己事發時想找任何 Canonical 官方說法，完全找不到。@HarHarVeryFunny 把這件事放進更大的脈絡：AI 正在大量、快速地挖出漏洞，基礎設施供應商的應變節奏必須整體升級。@moritzwarhier 更直指把安全修補扣在訂閱制後面「really low」。
社群自救：關閉 MPTCP 與二十分鐘熱修補
@kuriousoranj 給了最短路徑：sudo sysctl -w net.mptcp.enabled=0（漏洞位於 MPTCP 選項處理，@flerchin 吐槽「你們得真的在用 MPTCP，幾乎沒人這樣」）。@arjie 以 iptables 封鎖 IP 選項，@galliher 更狠——用 codex 約二十分鐘就產出 Ubuntu 核心熱修補。潛台詞都一樣：社群用 AI 幾小時補起來的洞，發行商三週交不出，專業就沒了立足點。
出走潮才是本串真正的內容
80 則抽樣裡至少十幾則是具體遷移回報。@strenholme 最具戲劇性：抱怨要換 Rocky Linux 10，數小時後回來回報已經換完，「前後約四小時」。@rajay99（2014 年因驅動留下）、@metafunctor（用十五年）、@euph0ria（連 PHP 修補慢一併清算）宣告投向 Debian，@eyeino 推薦 NixOS 搭配大模型工作流。整串幾乎沒人回答「到底為什麼還用 Ubuntu 跑伺服器」，最接近答案的是 @WorldPeas：CUDA 支援還是 Ubuntu 最好。
正反分歧一表
| 面向 | 批評方 | 緩頰方 |
|---|---|---|
| 嚴重性 | 9.8 分遠端漏洞，已有提權攻擊手法 | EPSS 低於 1%，最壞或只是阻斷服務 |
| 修補速度 | 志工發行版已修，Ubuntu 仍無 | RHEL 同樣延遲，非 Ubuntu 獨有 |
| 官方溝通 | 事發期間找不到任何正式說法 | 無人辯護 |
| 訂閱制 | 付費使用者也等待，不如免費用 Debian | 關鍵站台前有代理過濾，實害有限 |
| 去留 | 已遷移至 Rocky、Debian、NixOS | 核心可自行編譯，CUDA 仍是 Ubuntu 最好 |
視覺懶人包
手機版可直接開啟備援連結：
https://derek-static.pages.dev/wtf-ubuntu-hn.html
來源
- 原文： https://chalmovsky.com/posts/wtf-ubuntu
- HN 討論串 50337608： https://news.ycombinator.com/item?id=50337608
- HN 數字為 2026-11-03 抓取代入；留言整理底稿為同日日報 80 則抽樣，descendants 含已刪除留言，實際存活筆數較少。
譯註（非原文）
- EPSS 是漏洞被實際利用機率的評分，與 CVSS 嚴重度是兩套系統，兩者打架正是本串爭論核心。
- proposed 倉庫是 Ubuntu 的測試性更新通道，修補進了這裡但沒轉正，一般使用者不會收到。
- MPTCP 是多路徑 TCP，多數伺服器預設沒啟用，這也是緩頰方認為實際風險有限的主因之一。