Три дыры в Linux
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Агентство США по кибербезопасности и защите инфраструктуры (CISA) добавило три уязвимости ядра Linux в каталог Known Exploited Vulnerabilities — KEV, то есть известных уязвимостей, которые уже используют в реальных атаках. Для федеральных гражданских ведомств США это означает обязательное требование: установить исправления в установленный срок или прекратить использование уязвимого продукта.
Речь идет о CVE-2025-39682 с критической оценкой 9,8 из 10, CVE-2026-53266 с высокой оценкой 8,8 и CVE-2025-39964, также оцененной в 7,8. Все три ошибки уже исправлены в ядре Linux.
CVE-2025-39682 устранили в стабильных версиях 6.1.149, 6.6.103, 6.12.44 и 6.16.4. CVE-2025-39964 исправлена в версиях 5.10.245, 5.15.194, 6.1.154, 6.6.108, 6.12.49 и 6.16.9. Исправление CVE-2026-53266 добавили в основной проект Linux и перенесли в поддерживаемые стабильные ветки и дистрибутивные ядра, включая 5.10.259, 6.1.176 и 6.12.94.
Первая проблема связана с некорректной проверкой необычных или исключительных условий в механизме приема TLS — защищенного сетевого протокола. При использовании уязвимого пути kTLS злоумышленник без учетной записи может добиться раскрытия данных из памяти или вызвать отказ в обслуживании. В отдельных сценариях не исключается и удаленное выполнение произвольного кода, однако такая возможность зависит от конфигурации системы.
CVE-2026-53266 — ошибка записи за пределами выделенной области памяти в механизме переписывания ARP-адресов для правил ebtables SNAT. Локальный атакующий может использовать ее для повышения привилегий или остановки работы системы. Уязвимость актуальна для конфигураций, где задействованы соответствующие bridge/netfilter-механизмы.
CVE-2025-39964 — состояние гонки при одновременной записи в один AF_ALG-сокет. AF_ALG — интерфейс ядра Linux для криптографических операций. Локальный злоумышленник может вызвать сбой системы, повредить результаты вычислений и нарушить целостность данных, вплоть до отказа в обслуживании.
Red Hat подтвердил, что все три уязвимости используются в атаках, и рекомендовал устранять их с максимальным приоритетом. При этом не сообщается, кто именно применяет эксплойты, против каких целей и с какой задачей. Отдельных публичных отчетов об атаках, прямо связанных с этими CVE, пока нет.
CISA внесла уязвимости в KEV 18 сентября 2026 года и установила необычно короткий срок — до 21 сентября. Обычно федеральным гражданским ведомствам дают три недели, а трехдневное окно оставляют для исключительных случаев. Здесь, судя по всему, решили не проверять, насколько быстро может гореть серверная.
Для CVE-2025-39682 возможна мера снижения риска: запретить загрузку модуля tls, если это не ломает работу системы. Для CVE-2026-53266 рекомендуют отключить переписывание аппаратных ARP-адресов в правилах ebtables SNAT либо удалить правила SNAT, работающие с ARP-трафиком на bridge-интерфейсах. Для CVE-2025-39964 рабочей обходной меры нет — требуется установить патч.
Опасность зависит от конкретной версии ядра и того, как развернута система. Ранее в 2026 году исследователи также раскрыли четыре локальные уязвимости повышения привилегий: DirtyAH6 (CVE-2026-80844), TUNderflow (CVE-2026-81000), PPPoEject (CVE-2026-68121) и DiagSpill (CVE-2026-74469). Для российских администраторов практический вывод прост: проверить версию ядра, обновить поддерживаемые пакеты и не рассчитывать, что «локальная» уязвимость сама по себе безопасна.
PEREC.RU
CISA добавила три уязвимости ядра Linux в каталог Known Exploited Vulnerabilities (KEV), поскольку они уже используются в реальных атаках. Федеральным гражданским ведомствам США предписано установить исправления или прекратить использование уязвимых компонентов; срок составил всего три дня — до 21 сентября 2026 года. Обычно CISA предоставляет около трех недель, поэтому сокращенный срок указывает на высокий приоритет проблемы.
Уязвимость CVE-2025-39682 имеет критическую оценку 9,8 из 10. Она связана с некорректной обработкой исключительных условий в пути приема TLS, включая kTLS — механизм TLS в ядре Linux. При определенной конфигурации удаленный злоумышленник без аутентификации может вызвать раскрытие данных из памяти или отказ в обслуживании. Теоретически возможны и более тяжелые последствия, включая выполнение произвольного кода, но это зависит от конкретного сценария и настроек системы. Исправления выпущены, в частности, для веток 6.1.149, 6.6.103, 6.12.44 и 6.16.4.
CVE-2026-53266 оценена в 8,8 из 10. Это уязвимость записи за пределами выделенной области памяти в патче, который переписывает ARP-адреса для ebtables SNAT. Локальный атакующий может повысить привилегии или вызвать отказ в обслуживании. Проблема особенно актуальна для систем с соответствующей конфигурацией bridge/netfilter. Исправление перенесено в поддерживаемые ветки, включая 5.10.259, 6.1.176 и 6.12.94. В качестве временных мер предлагается отключить переписывание аппаратных ARP-адресов или удалить ebtables SNAT-правила, работающие с ARP-трафиком на bridge-интерфейсах.
CVE-2025-39964 имеет оценку 7,8. Она позволяет локальному злоумышленнику использовать состояние гонки при одновременной записи в один AF_ALG-сокет. AF_ALG — интерфейс ядра для криптографических операций. Эксплуатация может привести к сбою, повреждению результатов криптографических вычислений, нарушению целостности данных и отказу в обслуживании. Исправления доступны в ветках 5.10.245, 5.15.194, 6.1.154, 6.6.108, 6.12.49 и 6.16.9. Рабочей обходной меры для этой уязвимости нет.
Red Hat подтвердил эксплуатацию всех трех ошибок в реальных атаках, но не сообщил, кто использует эксплойты, против кого они направлены и каковы цели атак. Публичных отдельных отчетов об инцидентах, напрямую связанных с этими CVE, пока нет.
Практический вывод для администраторов Linux в России: определить версию ядра, установить обновление из поддерживаемой ветки и проверить, используются ли kTLS, ebtables SNAT, ARP на bridge-интерфейсах и AF_ALG. Ранее в 2026 году были раскрыты еще четыре локальные уязвимости повышения привилегий: DirtyAH6 (CVE-2026-80844), TUNderflow (CVE-2026-81000), PPPoEject (CVE-2026-68121) и DiagSpill (CVE-2026-74469).
