Xray-core v26.10.31 默认关闭 MPTCP，v26.10.29 被撤版

发表于 分类于
Xray-core v26.10.31 紧急安全更新默认关闭 MPTCP，v26.10.29 已被撤版；只升 Xray 不等于根治，内核也要跟发行版公告更新。

本文依据 Xray-core 官方 GitHub 发布页整理，未实测升级。先说最关键的一句：如果你前两天盯着 v26.10.29，别再追它了——官方已经让它让位、撤版，直接看 v26.10.31。

v26.10.31 改了什么：就一句话，但很紧急

Xray-core v26.10.31 于 2026 年 10 月 31 日发布，官方发布页的更新说明全文只有一段，核心内容是：

  • 这是一次紧急安全更新；
  • 由于 Linux 内核刚被爆出监听 IPv4 MPTCP（Multipath TCP）极易被远程拿 root，且 Go 1.24+ 默认开了 MPTCP，本版本默认关闭了 MPTCP，以显著减小攻击面；
  • v26.10.29 让位，已被撤版；
  • 用户应尽快升级到该版本；
  • 该漏洞不止影响 Linux 服务端，安卓客户端的 Socks/HTTP 入站若开启了“允许来自局域网的连接”也有点危险；
  • 并尽快更新 Linux 内核以从根源上修复漏洞。

注意官方措辞里的分寸：Xray-core 这一版做的是“默认关闭 MPTCP，减小攻击面”，不是“修好了内核漏洞”。发布页没有给出任何新的配置项名字，本文也不替它编一个开关——升级到 v26.10.31 只是先把自家监听口上的 MPTCP 关掉，根治还得看下面内核那一段。

背景：CVE-2026-98432，媒体报道口径

Xray-core 发布页本身没有写 CVE 编号，下面这段来自 10 月 31 日的安全媒体报道，单独标注，不跟官方原话混在一起：

  • 该 Linux 内核漏洞编号为 CVE-2026-98432，Linux 内核 CVE 团队给出的 CVSS 评分为 9.8，定性为 IPv4 TCP 代码里的竞态导致的 use-after-free；
  • Anthropic 的研究模型在实验环境里演示了针对 MPTCP 监听的远程 root 利用，报道称全程约 53 分钟，且绕过了 KASLR；
  • 截至 10 月 31 日的报道，尚无该漏洞在野外被利用的确认案例；
  • Go 安全团队的提醒是：Go 1.24 起，Linux 上的 TCP 监听在内核支持时默认启用 MPTCP，所以很多 Go 服务可能在管理员不知情的情况下暴露了 MPTCP 监听——这正是 Xray-core 这一版要先关掉它的原因；
  • 也有安全厂商提醒：只关 MPTCP 不等于彻底免疫，因为该缺陷的根源在普通 TCP 处理路径上，内核补丁才是根本。

发行版补丁进度在 10 月 30 日至 31 日的报道里并不一致：Debian 12（Bookworm）和 13（Trixie）已有修复包，Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS 和 26.10 在 10 月 30 日的追踪状态里仍标记为易受攻击。具体到你的机器，以你所用发行版自己的安全公告为准，不要拿别家发行版的进度往自己身上套。

和本站前一篇的关系：v26.10.29 那篇不要再按原样发了

本站 10 月 30 日的草稿写的是 v26.10.29：当时它的标签已经出现、发布页却只有赞助信息、没有任何更新说明，结论是“先别急着升，等说明补全”。现在说明以另一种方式补全了——v26.10.31 的发布页直接说明 v26.10.29 已被撤版。所以：

  • 还在 v26.10.29 上的人：不要把它当成“月底 stable 版”留着，直接升到 v26.10.31；
  • 还在 v26.10.21 上的人：v26.10.21 那次是印度中间证书私钥被破解、移除三张根证书的安全更新，v26.10.31 是另一回事，两次更新不互相替代，升到最新版就是同时覆盖了这两段；
  • 面板用户先对照面板捆绑版本：3x-ui 最新稳定版 v3.11.0（10 月 25 日）捆绑的是 Xray-core v26.10.21，不是 v26.10.31，面板里显示的内核版本以面板实际捆绑的为准，不要把 v26.10.31 当成面板已经带上的版本。

升级前核对清单

动手之前先跑下面这条，确认自己现在到底是哪个版本（沿用本站已有文章里的路径写法）：

1
/usr/local/bin/xray version

再对照三件事：

  1. 你当前是不是 v26.10.29——如果是，它已被撤版，优先升到 v26.10.31；
  2. 你用的面板是否已经捆绑或支持这个内核版本，面板用户以面板的内核管理为准；
  3. 内核补丁有没有跟上：先看发行版安全公告，再看本机内核版本：
1
uname -r

用官方一键脚本升级的命令，本站已有文章里写过，沿用官方脚本的标准用法（本文作者未在本地实测）：

1
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

升级完再跑一遍 xray version，确认版本号确实变成了 v26.10.31，再重启服务让新版本生效。内核更新后同样需要重启才能让新内核生效，别只升级包、不重启就以为已经修好了。

依据来源