对于 CentOS 7 来说，CVE-2026-98432 的修复策略比较特殊：是否需要修复，完全取决于你当前运行的内核版本。Red Hat 官方已确认，CentOS 7 默认的 3.10 内核并不受此漏洞影响，因为易受攻击的代码根本不存在于该版本中。

所以，第一步是检查你的内核版本：

uname -r

请根据输出结果对号入座。

✅ 情况一：内核版本为 3.10.x（默认内核）

恭喜，你无需进行任何操作。 你的系统本身是安全的，无需升级内核或应用任何临时缓解措施。

⚠️ 情况二：内核版本以 .el7.elrepo.x86_64 结尾（ELRepo 内核）

如果你的内核来自 ELRepo 仓库（如 kernel-lt 或 kernel-ml），那么你的系统是受影响的。因为 ELRepo 为 CentOS 7 提供的内核在 2024 年 6 月后已停止更新，不会再获得官方修复。

你需要采取以下措施之一：

方案 A：升级到已修复的内核（推荐）

你可以通过安装 GetPageSpeed 提供的免费、已修复的 kernel-lt 6.18.60 版本，来彻底解决此问题。该内核会与现有内核并存安装，重启后生效。

操作步骤：

# 1. 安装 GetPageSpeed 仓库配置并启用核心通道
yum -y install https://extras.getpagespeed.com/release-latest.rpm
yum -y install yum-utils
yum-config-manager --enable getpagespeed-extras-corecare

# 2. 安装已修复的内核
yum -y install kernel-lt

# 3. 将新内核设为默认启动项（关键步骤，切勿跳过）
grub2-set-default 0

# 4. 确认默认内核已指向新版本
grubby --default-kernel
# 输出应为 /boot/vmlinuz-6.18.60-2.el7.x86_64 或类似版本

# 5. 重启系统使新内核生效
reboot

重启后，再次运行 uname -r，应显示 6.18.60 或更高版本，即表示修复完成。请注意：如果你安装了 kernel-lt-devel 等开发包，或系统中有第三方内核模块，升级后需要重新编译这些模块以匹配新内核。

方案 B：临时缓解措施（无法立即重启时）

如果你的生产服务器无法立即重启，可以先应用临时缓解措施来降低风险。这些措施通过阻断漏洞利用的路径来工作，但并不能从根本上修复漏洞。

1. 禁用 MPTCP 和 TCP 请求套接字迁移：漏洞的利用链依赖于这些特性。你可以通过 sysctl 临时禁用它们。

   bash

   # 临时禁用（重启后失效）
   sudo sysctl -w net.mptcp.enabled=0
   sudo sysctl -w net.ipv4.tcp_migrate_req=0

   要使配置永久生效，可将上述参数写入 /etc/sysctl.d/99-cve-2026-98432.conf 文件中。

2. 考虑使用 nftables/iptables 规则：有社区项目提供了通过防火墙规则来缓解此漏洞的方法，你可以根据自身环境评估后使用。

💎 总结

• 默认 3.10 内核：安全，无需操作。

• ELRepo 内核：建议通过 GetPageSpeed 渠道升级到 kernel-lt 6.18.60 或更高版本来彻底修复；若无法立即重启，可先应用 sysctl 临时缓解措施。