השבוע שבו הדרך אל root מקומי נפתחה בבת אחת — חולשות LPE בליבת Linux נכנסו לקטלוג ה-KEV של CISA כשניצולים פומביים מתפרסמים
ב-18 בספטמבר הוסיפה CISA שלוש חולשות בליבת Linux שמנוצלות בפועל (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) לקטלוג ה-KEV, ו-Red Hat אישרה שקיים קוד ניצול פומבי. באותו יום פורסמו ניצולים עובדים לארבע חולשות LPE בליבה (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) תחת גילוי מתואם. אנו בוחנים מדוע הסלמת הרשאות במארח משותף הולכת בעקבות מכשירי הגבול אל מרכז תשומת הלב.
מאמר זה תורגם במכונה.
ב-18 בספטמבר 2026 הוסיפה CISA שלוש חולשות בליבת Linux לקטלוג Known Exploited Vulnerabilities (KEV) שלה על סמך ראיות לניצול פעיל: CVE-2025-39682 (CVSS 9.8, בדיקת תנאי לקויה בנתיב הקבלה של TLS בליבה שמאפשרת חשיפת זיכרון או מניעת שירות), CVE-2026-53266 (CVSS 8.8, כתיבה מחוץ לגבולות בנתיב השכתוב של ARP ב-SNAT של ebtables בגשר netfilter שמאפשרת הסלמת הרשאות מקומית), ו-CVE-2025-39964 (CVSS 7.8, מרוץ שמאפשר כתיבות מקבילות לאותו שקע AF_ALG). לסוכנויות אזרחיות פדרליות ניתן עד 21 בספטמבר להחיל תיקונים. לאף אחת מן השלוש לא פרסמה CISA פרטי קמפיין או ייחוס של גורם איום, והשאלה אם הן מרכיבות שרשרת תקיפה אחת נותרת לא ברורה. מה שידוע: Red Hat עדכנה את הייעוצים לשלושתן נכון ל-19 בספטמבר וקבעה שה-CVE בסיכון גבוה ושקיימים ניצולים פומביים ידועים, ודחקה בתיקון בעדיפות גבוהה (לפי The Hacker News, CISA, ו-Red Hat).
באותו יום הרחיב זרם נפרד את משטח התקיפה של הליבה. חוקר האבטחה Asim Manizada דיווח באמצע יולי על ארבע חולשות הסלמת הרשאות מקומית (LPE) לצוות האבטחה של ליבת Linux — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, התקני רשת וירטואליים TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE), ו-DiagSpill (CVE-2026-74469, sctp_diag של SCTP). ב-18 בספטמבר, אחרי השהיה מתואמת כדי שהפצות יוכלו לשלוח תיקונים, הוא פרסם סקירות טכניות עם ניצולים עובדים. כל הארבע תוקנו בליבות העדכניות ואין דיווחים על שימוש בעולם האמיתי. אבל שלוש מתוך הארבע — DirtyAH6, TUNderflow, PPPoEject — מניחות שמרחבי שמות של משתמשים לא מורשים מופעלים, תכונה שהפצות רבות מפעילות כברירת מחדל; הרביעית, DiagSpill, אינה דורשת הרשאות מיוחדות כלל כל עוד מודול SCTP זמין (לפי הדיווח של The Hacker News).
ניתוח (מופרד מהעובדות): הנחיתה של שני הסיפורים באותו יום מסמנת הסטת דגש מן «הכניסה» אל «מה שבא אחר כך». בשבוע שעבר סקר המצפה הזה פשרת root של מכשירי גבול שפונים לאינטרנט — Cisco ISE ו-Secure Email Gateway. מכשירי גבול נגישים מעצם התכנון, ולכן השאלה «האם הוא חשוף» עונה על עצמה; חולשות הליבה של השבוע הזה כולן מקומיות-תחילה (הפעלה מרחוק צרה וממוקדת בקריסה). מה שחשוב מנקודת המבט של תוקף הוא התפריט הגדל של נתיבים מאחיזה ראשונית על מארח משותף אל root. מארחי קונטיינרים, מריצי CI, שרתים מרובי דיירים וסביבות עומס של בינה מלאכותית הם כולם נכסים שהנחת ההפעלה שלהם היא «כמה צדדים מחזיקים כאן shell בהרשאה נמוכה» — כל ניצול פומבי שיורד מוריד את עלות התנועה לרוחב. הניצולים שפורסמו, לפי הדיווח, דורשים כיוונון לבניות ליבה מסוימות ויכולים לקרוס את המכונה; זו אמירה על עלות פיתוח, לא על יכולת הניצול.
השלכות הגנתיות: (1) שלוש רשומות ה-KEV כפופות לדרישות המיון הפורנזי של BOD 26-04 של CISA, לא רק לתיקון — סקירת יומנים לפשרה שלפני התיקון היא קו הבסיס. (2) מרחבי שמות של משתמשים חיוניים לעומסים רבים, אבל בשרתים שאינם זקוקים להם, השבתתם שווה הערכה: העובדה ששלוש מתוך ארבע חולשות ה-LPE החדשות מניחות את ברירת המחדל היחידה הזו מראה כמה משטח תקיפה של הליבה תלוי בבחירת תצורה אחת. (3) במארחים משותפים, יש לערוך מצאי של המבנה עצמו — בידוד דיירים, מריצי CI ארעיים, בידוד עומסי בינה מלאכותית — לצד תיקון לכל CVE, מפני ש«אדם אחד מגיע ל-root, כולם מפסידים» הוא תכונת תכנון, לא רמת תיקון. (4) מכיוון שפשרה במרחב הליבה אינה נראית לסוכנים במרחב המשתמש, השלמה בזיהוי זמן ריצה מבוסס eBPF ובניטור שלמות הליבה היא אפשרות מציאותית. העובדות כאן נשענות על התראת ה-KEV של CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), הסיקור של The Hacker News על הוספות ה-KEV (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) ועל ארבעת גילויי ה-LPE (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html), והייעוץ של Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). הניתוח נשמר בנפרד מן הדיווח.