Американската агенция за киберсигурност и сигурност на инфраструктурата (CISA) обяви, че три уязвимости в ядрото на Linux се експлоатират активно в реални среди. На 18 септември тези недостатъци бяха добавени към каталога на известните експлоатирани уязвимости (KEV), което задейства 72-часов период за федералните агенции да внедрят съответните корекции, съгласно Директива BOD 26-04. Но това не е проблем само за публичния сектор: всяка организация, която използва Linux в производство, от сървъри до рендер ферми, трябва незабавно да вземе това под внимание.
Междувременно, изкуственият интелект напълно променя пейзажа на сигурността на отворения код. От една страна, инструменти като GLM-5.3 откриха над хиляда нови уязвимости в критични проекти, включително ядрото на Linux. От друга страна, тази лавина от открития е зашеметяваща за разработчиците, които едва имат време да преглеждат доклади и корекции, много от които са тривиални или дубликати. Тази ситуация накара самия Линус Торвалдс да изрази разочарованието си и да въведе по-строги мерки за бъдещи интеграции.
Трите уязвимости, които засягат CISA
Идентифицираните CVE са CVE-2025-39682, CVE-2025-39964 и CVE-2026-53266. Първата, с CVSS оценка от 7.1 според NVD до 9.8 според SecurityWeek, се намира в софтуерната имплементация на TLS (net/tls/tls_sw.c). Тя се задейства, когато атакуващ обработи TLS запис с нулева дължина в режим на нулево копие, повреждайки брояча на референции на буфера и водещи до събитие „use-after-free“. Това може да причини всичко - от срив на ядрото до изтичане на чувствителна информация. Засяга версии от 6.0 до 6.16.3 и кандидатите за издание 6.17-rc1/rc2.
Втората уязвимост, CVE-2025-39964, се намира в интерфейса AF_ALG на API за криптография в потребителското пространство. Това е състезателно условие, което позволява на двама едновременни записващи устройства да преплитат данни в един и същ сокет, оставяйки вътрешното състояние непоследователно. Въпреки че CVSS резултатът му варира между 3.3 (NVD), 5.5 (Red Hat) и 7.8 (CNA), включването му в каталога KEV потвърждава, че експлойтът е реален и опасен. И накрая, CVE-2026-53266 засяга целта ebt_snat на моста netfilter, позволявайки запис извън границите в паметта на ядрото при обработка на ARP пакет върху нелинеен буфер на сокет. С CVSS резултат от 8.8, това е ясен вектор за локална ескалация на привилегиите.
Изкуственият интелект претоварва поддържащите ядрото
Увеличението на докладваните уязвимости не е случайно. Според данни, представени от Грег Кроа-Хартман на конференцията Kernel Recipes 2026, броят на CVE, закърпени за всяка версия на ядрото, се е увеличил от около 500 във версии 6.9 до 6.19 до над 1.000, започвайки с Linux 7.0, и над 1.500 в Linux 7.2. Прогнозите сочат, че Linux 7.3 може да надхвърли 2.000. Голяма част от това увеличение се дължи на използването на изкуствен интелект за одит на код . Повечето от откритията обаче са с нисък приоритет или се отнасят до по-стари драйвери, а много от тях са дубликати.
Натовареността на екипа по поддръжката стана непоносима. Линус Торвалдс вече беше предупредил, че списъкът с корекции за сигурност на ядрото е станал „почти напълно неуправляем“. Якуб Кичински, отговорен за мрежовата подсистема, дори заяви: „Напълно сме претоварени“. Освен това Торвалдс се оплака, че много корекции пристигат в напреднали етапи на разработка, като например изданието на Linux 7.1 RC5, когато е трябвало да бъдат предложени по-рано. Той обеща да бъде по-негъвкав и да отхвърля заявки за изтегляне (pull requests), които не предлагат реална стойност. Тази ситуация не само засяга стабилността, но може да компрометира и сигурността, тъй като правилните корекции могат да се изгубят в шума.
Препоръки и мерки за смекчаване на последиците за администраторите
Изправени пред тази вълна от уязвимости, системните администратори трябва да действат бързо и да не разчитат единствено на официални корекции. За трите CISA CVE приоритетът е актуализирането на ядрото до версия с корекции на използваната дистрибуция. В случая с наскоро идентифицираната уязвимост af_unix (CVE-2026-80521) е препоръчително да се приложи и съответната корекция, тъй като тя засяга версии 6.1, 6.6 и по-нови, започвайки с 6.10. Не винаги е възможно обаче възлите да се рестартират незабавно; следователно се препоръчва внедряването на компенсиращи контроли.
За CVE-2026-53266, модулът ebtables може да бъде деактивиран с помощта на скрипт, който разтоварва резидентния модул и след това блокира бъдещото му зареждане в /etc/modprobe.d/. За другите две уязвимости, използването на eBPF с Falco може да открие опити за експлоатация рано, а политиките seccomp могат да блокират участващите системни извиквания. Освен това, активирането на потребителски пространства от имена с containerd v2.2+ и Kubernetes CRI v1.30, използвайки hostUsers: false, намалява въздействието на ескалацията на привилегиите. Тези мерки, заедно с непрекъснатото наблюдение на възлите, печелят време, докато може да се извърши рестартиране с актуализирано ядро.
И накрая, важно е да се помни, че изкуственият интелект помага и за почистването на остарял код и премахването на наследени подсистеми, което може да намали повърхността за атака в дългосрочен план. Въпреки че настоящата ситуация е хаотична, екосистемата на ядрото се адаптира. Администраторите трябва да бъдат информирани, да се абонират за списъци за наблюдение на сигурността и да приоритизират уязвимостите, изброени в официални каталози като KEV. Гъвкавостта при инсталирането на корекции и използването на защити в дълбочина са, сега повече от всякога, от съществено значение за защитата на производствените среди, базирани на Linux.
