Агентство по кибербезопасности и защите инфраструктуры США (CISA) обновило свой каталог Known Exploited Vulnerabilities (KEV), включив в него три уязвимости в ядре Linux. Подобное решение регулятора свидетельствует о том, что данные бреши уже активно используются злоумышленниками в реальных атаках. На фоне серьезности ситуации американским правительственным агентствам был дан крайне короткий трехдневный срок на установку исправлений, который истек 21 сентября 2026 года.
Детали уязвимостей и степень их опасности
В список CISA вошли три дефекта, получившие следующие идентификаторы и оценки по шкале критичности:
- CVE-2025-39682: оценка 9,8/10 (критический уровень).
- CVE-2026-53266: оценка 8,8/10 (высокий уровень).
- CVE-2025-39964: оценка 7,8/10 (высокий уровень).
Компания Red Hat подтвердила факт реальной эксплуатации всех трех уязвимостей и в своих бюллетенях по безопасности рекомендовала относиться к их устранению как к задаче высшего приоритета. Хотя конкретные данные о целях атак или группировках, стоящих за использованием данных эксплойтов, на текущий момент отсутствуют, CISA приняла решение о принудительном патчинге, основываясь на высокой опасности обнаруженных векторов атак.
Технические особенности и методы защиты
Первая уязвимость, CVE-2025-39682, связана с некорректной проверкой условий в коде приема TLS. Это может позволить неавторизованным злоумышленникам реализовать раскрытие данных из памяти или организовать атаку типа «отказ в обслуживании» (DoS). В некоторых конфигурациях, использующих путь приема kTLS, существует вероятность удаленной эксплуатации. В качестве временной меры защиты рекомендуется предотвратить загрузку модуля tls.
Вторая проблема, CVE-2026-53266, классифицируется как запись за пределами допустимых границ (out-of-bounds write) в патче перезаписи ARP для SNAT в ebtables. Она позволяет локальному атакующему повысить привилегии или вызвать DoS-состояние системы. В качестве смягчающей меры специалисты советуют отключить перезапись аппаратных ARP-адресов в правилах ebtables SNAT или удалить соответствующие правила для ARP-трафика на интерфейсах моста.
Третья брешь, CVE-2025-39964, является «состоянием гонки» (race condition) при параллельной записи в сокеты AF_ALG. Это ведет к возможности краха системы или повреждению результатов криптографических операций, что чревато нарушением целостности данных. Для данной уязвимости не предусмотрено иных способов защиты, кроме установки официальных исправлений.
Статус обновлений и доступные патчи
Все перечисленные уязвимости уже устранены в актуальных версиях ядра Linux. Исправления были перенесены в поддерживаемые стабильные ветки дистрибутивов:
- Для CVE-2025-39682 патчи доступны в версиях 6.1.149, 6.6.103, 6.12.44 и 6.16.4.
- Для CVE-2025-39964 исправления включены в версии 5.10.245, 5.15.194, 6.1.154, 6.6.108, 6.12.49 и 6.16.9.
- Для CVE-2026-53266 фиксы внедрены в ветки 5.10.259, 6.1.176 и 6.12.94.
Стоит отметить, что установка трехдневного дедлайна для государственных структур является для CISA редкой мерой, что подчеркивает чрезвычайную опасность текущей угрозы. Хотя локальные уязвимости повышения привилегий в ядре Linux фиксировались и ранее (например, DirtyAH6, TUNderflow, PPPoEject и DiagSpill в начале 2026 года), оперативное включение сразу трех векторов в KEV требует от администраторов систем незамедлительной реакции.
Подробности потенциальных сценариев атак
Хотя CISA и Red Hat не раскрывают данные о том, кто именно стоит за текущей волной атак и какие цели преследуют злоумышленники, технический анализ позволяет выстроить вероятные сценарии использования этих уязвимостей. В теоретических условиях хакер может нацелиться на Linux-систему, использующую механизм kTLS (Kernel TLS), отправив специально сформированный TLS-пакет. Это может привести не только к аварийному завершению работы системы, но и потенциально к выполнению произвольного кода.
Для двух других уязвимостей — CVE-2025-39964 и CVE-2026-53266 — ситуация выглядит иначе: они являются сугубо локальными. Тем не менее, их опасность не стоит недооценивать в контексте многоэтапных атак. Так, злоумышленники, которые уже закрепились в целевой системе и имеют низкий уровень привилегий, могут использовать CVE-2025-39964 для повышения своих прав до уровня администратора или суперпользователя. Аналогичным образом, на системах с настроенными мостами и использованием netfilter, уязвимость CVE-2026-53266 предоставляет локальному нарушителю прямой путь к эскалации привилегий.
Почему сроки CISA вызвали резонанс
Обычно CISA предоставляет федеральным гражданским исполнительным органам (FCEB) до трех недель на устранение уязвимостей, внесенных в каталог KEV. Установление трехдневного срока, который в данном случае истек 21 сентября 2026 года, является крайне нетипичной и исключительной мерой для ведомства. Это решение де-факто приравнивает текущие проблемы в ядре Linux к угрозам самого высокого уровня критичности, требующим незамедлительной реакции, поскольку промедление в данном случае повышает риск успешного взлома критической инфраструктуры.
Рекомендации по безопасности в отсутствие патчей
Хотя установка официальных исправлений ядра остается единственным надежным способом защиты, для двух уязвимостей (CVE-2025-39682 и CVE-2026-53266) существуют временные методы смягчения рисков, которые могут быть применены администраторами, если перезагрузка или обновление ядра по каким-либо причинам невозможны в моменте:
- Для CVE-2025-39682 (проблемы в kTLS): пользователям следует предотвратить загрузку модуля tls в операционной системе. Это ограничит функциональность, связанную с TLS на уровне ядра, но купирует вектор атаки.
- Для CVE-2026-53266 (перезапись ARP в SNAT): рекомендуется либо полностью отключить функциональность перезаписи аппаратных ARP-адресов в правилах ebtables SNAT, либо удалить все существующие правила SNAT, которые работают с ARP-трафиком на интерфейсах моста.
Что касается CVE-2025-39964 (состояние гонки в сокетах AF_ALG), то для этой уязвимости эффективных обходных путей не существует. Безопасность системы при наличии этой бреши может быть гарантирована исключительно своевременным применением обновленных пакетов ядра, предоставленных официальными дистрибьюторами.
