CVE-2026-98432 iptables 防护指导（面向运维大模型）

针对无法更新内核并重启的服务器，该指导提供了 CVE-2026-98432 在内核修复前的临时防护方案，核心为丢弃入向带 IP options 的 TCP SYN。内容涵盖实施前检测、iptables 与 nftables 两种规则写法、观察态到阻断态的两阶段切换、命中验证与持久化回退，并明确指出禁用 MPTCP 不能替代该规则。