السيمانة اللي فيها الطريق لـroot المحلي تحلات دفعة واحدة — ثغرات LPE فـkernel ديال Linux دخلو لكتالوج KEV ديال CISA مع نزول استغلالات عمومية
نهار 18 سبتمبر، CISA زادات تلاتة ثغرات فـkernel ديال Linux مستغلة فعليا (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) لكتالوج KEV، وRed Hat أكدات بلي كاين كود استغلال عمومي. فنفس النهار تنشروا استغلالات خدامة لربعة ثغرات LPE فـkernel (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) تحت كشف منسق. حنا كنشوفو علاش تصعيد الصلاحيات على مضيف مشترك كيتبع أجهزة الحدود للواجهة.
هاد المقال ترجمو بالآلة.
نهار 18 سبتمبر 2026، CISA زادات تلاتة ثغرات فـkernel ديال Linux لكتالوج Known Exploited Vulnerabilities (KEV) ديالها على أساس دليل ديال استغلال نشيط: CVE-2025-39682 (CVSS 9.8، فحص شرط غير سليم فمسار الاستقبال ديال TLS فـkernel كيسمح بكشف الذاكرة ولا بمنع الخدمة)، CVE-2026-53266 (CVSS 8.8، كتابة خارج الحدود فمسار إعادة كتابة ARP ديال SNAT فـebtables ديال جسر netfilter كتمكن من تصعيد الصلاحيات المحلي)، وCVE-2025-39964 (CVSS 7.8، حالة سباق كتسمح بكتابات متزامنة لنفس مقبس AF_ALG). الوكالات المدنية الفيدرالية عطاهم الأجل حتى لـ21 سبتمبر باش يطبقو التصحيحات. على حتى واحدة من التلاتة، CISA ما نشراتش تفاصيل حملة ولا إسناد لجهة التهديد، وواش كيشكّلو سلسلة هجوم واحدة باقي ما واضحش. اللي معروف: Red Hat حدثات الإرشادات للتلاتة حتى لـ19 سبتمبر وقالت بلي الـCVE عالي الخطر وبلي كاينين استغلالات عمومية معروفة، وحثات على إصلاح بأولوية عالية (حسب The Hacker News وCISA وRed Hat).
فنفس النهار، تيار منفصل وسع سطح هجوم الـkernel. الباحث الأمني Asim Manizada بلغ فوسط يوليوز على ربعة ثغرات ديال تصعيد الصلاحيات المحلي (LPE) لفريق أمن kernel ديال Linux — DirtyAH6 (CVE-2026-80844, IPsec AH6)، TUNderflow (CVE-2026-81000، أجهزة الشبكة الافتراضية TUN/TAP)، PPPoEject (CVE-2026-68121, PPPoE)، وDiagSpill (CVE-2026-74469، sctp_diag ديال SCTP). نهار 18 سبتمبر، من بعد تعليق منسق باش التوزيعات تقدر تخرج التصحيحات، نشر شروحات تقنية مع استغلالات خدامة. الربعة كلهم تصلحو فـkernel الحالي وما كاين حتى تقرير على استعمال فالواقع. ولكن تلاتة من الربعة — DirtyAH6 وTUNderflow وPPPoEject — كيفترضو بلي فضاءات الأسماء ديال المستخدم بلا صلاحيات مفعلة، وهاد الميزة بزاف ديال التوزيعات كيفعلوها افتراضيا؛ الرابعة، DiagSpill، ما محتاجاش صلاحيات خاصة نهائيا ما دام وحدة SCTP متاحة (حسب تقرير The Hacker News).
التحليل (مفصول على الوقائع): نزول الجوج قصص فنفس النهار كيعلم تحويل التركيز من «الباب» لـ«شنو كيجي من بعد». السيمانة اللي فاتت هاد المرصد غطى اختراق root ديال أجهزة الحدود المواجهة للإنترنت — Cisco ISE وSecure Email Gateway. أجهزة الحدود كتوصل ليها بالتصميم، يعني سؤال «واش مكشوف» كيجاوب على راسو؛ ثغرات الـkernel ديال هاد السيمانة كلها محلية أولا (التشغيل عن بعد ضيق ومركز على الانهيار). اللي يهم من نظرة المهاجم هو القائمة اللي كتكبر ديال المسارات من موطئ أول على مضيف مشترك حتى لـroot. مضيفات الحاويات، ومشغلات CI، والسيرفرات متعددة المستأجرين، وبيئات حمل الذكاء الاصطناعي كلها أصول فرضية الخدمة ديالها هي «أطراف متعددة كتمسك هنا قشرات بصلاحية منخفضة» — كل استغلال عمومي كينزل كينقص تكلفة الحركة الجانبية. الاستغلالات المنشورة، حسب التقرير، محتاجة ضبط لبناءات kernel محددة وتقدر تطيح الآلة؛ هادي جملة على تكلفة التطوير، ماشي على قابلية الاستغلال.
الآثار الدفاعية: (1) تلاتة إدخالات KEV خاضعة لمتطلبات الفرز الجنائي ديال BOD 26-04 ديال CISA، ماشي غير التصحيح — مراجعة السجلات على اختراق قبل التصحيح هي الخط الأساسي. (2) فضاءات أسماء المستخدم ضرورية لبزاف ديال الأحمال، ولكن على السيرفرات اللي ما محتاجاهاش، تعطيلها يستاهل التقييم: كون تلاتة من ربعة LPE الجداد كيفترضو هاد الإعداد الافتراضي الواحد كيبين شحال سطح هجوم الـkernel معلق على اختيار تكوين واحد. (3) على المضيفات المشتركة، جرد البنية براسها — عزل المستأجرين، ومشغلات CI المؤقتة، وعزل أحمال الذكاء الاصطناعي — بجانب التصحيح لكل CVE، حيت «واحد يوصل لـroot، الكل يخسر» خاصية تصميم، ماشي مستوى تصحيح. (4) حيت اختراق فضاء الـkernel ما كيبانش لوكلاء فضاء المستخدم، التكميل بكشف وقت التشغيل على أساس eBPF ومراقبة سلامة الـkernel خيار واقعي. الوقائع هنا مستمدة من تنبيه KEV ديال CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog)، وتغطية The Hacker News لإضافات KEV (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) ولربعة كشوفات LPE (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html)، وإرشاد Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). التحليل مبقي مفصول على التبليغ.