1Panel 在 v2.4.2 的更新日志里只留了一行字：默认禁用 MPTCP，缓解 Linux 内核的远程代码执行漏洞 CVE-2026-98432。这一行比面板里任何“一键加固”都值得先处理，因为它动的是内核参数，不是面板自己的开关。
1Panel 在 v2.4.2 的更新日志里只留了一行字：默认禁用 MPTCP，缓解 Linux 内核的远程代码执行漏洞 CVE-2026-98432。这一行比面板里任何“一键加固”都值得先处理，因为它动的是内核参数，不是面板自己的开关。
这次改的到底是什么
v2.4.2 在 10 月 30 日发布，这一项归在“问题修复—系统”下面。MPTCP 是多路径 TCP，Linux 5.6 之后进的主线内核，允许一条连接同时走多条网络路径，双卡手机、多网卡服务器、部分云厂商的内网加速会用到它。绝大多数建站机器从来不开这个特性，所以默认关掉，对常规的 LNMP、WordPress、静态站没有影响。
更值得留意的是权限边界：面板能改内核参数，是因为安装时它就以 root 身份接管了系统层配置。换句话说，面板的一次更新，可能顺手改掉你服务器上跑了很久的内核行为。这也是升级之后要复查 sysctl 的原因，点完“立即更新”并不等于完事。
为什么默认值本身会变成风险
一个只在少数场景有用的特性，长期挂在开启状态，攻击面就白白扩大了。CVE-2026-98432 的具体触发条件要看 CVE 记录和各发行版公告，但方向很清楚：能不开的功能就不开，尤其是站在网络栈最外层的那些。这个思路今年已经被反复验证——补丁之外的止损动作，往往就是“把用不到的功能关掉”。
三行命令自查
先看内核版本，再看 MPTCP 状态：uname -r 查版本，cat /proc/sys/net/mptcp/enabled 看开关，sysctl net.mptcp.enabled 确认当前值。返回 1 是开着，返回 0 或文件不存在，说明已关或内核不支持。要临时关，执行 sysctl -w net.mptcp.enabled=0；要持久化，写进 /etc/sysctl.d/99-mptcp.conf 再跑 sysctl --system。只改运行时值，重启就回来了。
不用 1Panel 的机器同样要查
宝塔、aaPanel、手工 LNMP、只有 SSH 的机器，都不会因为 1Panel 发版而自动变安全，上面几行命令在哪种环境都成立。另外别把“更新面板”当成“更新内核”：面板升级只改参数，内核该打补丁还是要打，CentOS 系 yum update kernel，Debian 系 apt install linux-image，改完要重启才生效，这也是最容易被跳过的一步。
对站长的实际影响
用 1Panel 2.4.x 的话，升到 2.4.2 最省事，顺手就把参数改了。如果业务真的依赖多路径传输，比如少数专线或双卡聚合场景，升级前先确认，否则会出现“网络时通时不通”的怪现象，而日志里什么都不写。动内核参数前打个快照，比事后找原因便宜得多。另外建议在运维台账里记一笔：哪台机器、什么时候、改了哪个 sysctl、为什么改。下次内核升级之后再遇到网络抖动，这份记录能省掉半天排查。
本文根据公开报道整理，主要参考：1Panel 官方 Release Notes（v2.4.2，经 FollowAgents 归档）（2026-10-30）。
