В период с 19 по 20 июля 2026 года в почтовой рассылке linux-cve-announce был зафиксирован беспрецедентный всплеск активности: разработчики Linux опубликовали 432 сообщения об уязвимостях ядра. Каждая запись получила собственный идентификатор CVE и была внесена в открытый архив.
Реакция сообщества на поток уведомлений
Столь внушительный массив данных привлек внимание эксперта по безопасности Яна Шауманна. В профильной рассылке oss-security он отметил, что подобная интенсивность отчетов фактически делает невозможной ручную оценку и ранжирование угроз для каждого исправления. По мнению Шауманна, единственным надежным способом защиты в таких условиях остается регулярное обновление всего парка используемых систем, хотя он признал, что реализовать это на практике в крупной инфраструктуре крайне сложно.
Почему возникла такая очередь?
Грег Кроа-Хартман, отвечающий за стабильные ветки Linux, пояснил, что этот «шторм» отчетов не является следствием внезапного обнаружения сотен критических багов. Накопление записей стало результатом шестинедельного перерыва, связанного с периодом отпусков и проведением технических конференций. Кроа-Хартман использовал выходные, чтобы обработать накопившуюся очередь, подчеркнув, что все эти исправления ожидали рассмотрения достаточно долго.
Важно понимать, что появление 432 записей CVE не означает наличие 432 критических брешей. Команда Linux придерживается стратегии максимальной осторожности, регистрируя все потенциально значимые изменения. Учитывая центральную роль ядра в операционной системе, практически любая ошибка может быть интерпретирована как риск безопасности, хотя возможность её практической эксплуатации далеко не всегда очевидна. Более того, регистрация CVE обычно происходит уже постфактум, когда исправление уже включено в стабильный релиз.
Рекомендации для пользователей и системных администраторов
Грег Кроа-Хартман советует не ждать появления «громких» имен или уникальных логотипов у каждой уязвимости, а сосредоточиться на своевременной установке штатных обновлений от дистрибьюторов. Для организаций, которые собирают ядро самостоятельно, он предлагает автоматизировать процесс сопоставления CVE с реально используемыми компонентами. Это позволяет отсеять до 90% уведомлений, не требующих немедленного вмешательства. Разработчик также предостерег, что из-за активного использования больших языковых моделей (LLM) для поиска ошибок в коде, поток подобных сообщений будет только нарастать, и этот напряженный период может растянуться еще минимум на полтора года.
Пример реальной угрозы: Frag Gap
Среди множества отчетов была выделена уязвимость Frag Gap (CVE-2026–53362). Ошибка в механизме обработки UDPv6-пакетов приводила к записи 15 байт за пределы буфера. Исследователи доказали, что локальный пользователь без привилегий мог использовать эту брешь для перезаписи физической памяти и последующего повышения прав до уровня root. На данный момент уязвимость, требующая включенной поддержки IPv6, полностью устранена в последних обновлениях ядра.
Статистика и контекст
Всего за первое полугодие 2026 года для ядра Linux было выпущено 2308 идентификаторов CVE. По количеству записей проект вышел в лидеры среди всех программных продуктов. Однако эксперты напоминают, что такое сравнение не совсем корректно: подход команды Linux к прозрачности и регистрации даже малых исправлений кардинально отличается от политики многих коммерческих компаний, которые часто сообщают лишь о наиболее опасных инцидентах.
