Временный nftables-фильтр для CVE-2026-98432 с откатом
Автор развернул временную защиту от CVE-2026-98432 на 26 серверах: nftables-правило отбрасывает IPv4 TCP-пакеты с IP-options (ip hdrlength > 5), как предлагает Red Hat. Перед применением ставится systemd-таймер на пять минут, который удалит таблицу inet cve_2026_98432, если доступ или сервисы отвалятся. Фильтр не заменяет патч ядра: после проверки SSH и прикладного трафика правило нужно добавить в загрузку и повторить на остальных узлах.