वह सप्ताह जब स्थानीय रूट का रास्ता एक साथ खुल गया — Linux कर्नेल LPE, सार्वजनिक एक्सप्लॉइट आने के साथ CISA के KEV कैटलॉग में
18 सितंबर को CISA ने 3 सक्रिय रूप से शोषित Linux कर्नेल दोष (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) KEV कैटलॉग में जोड़े और Red Hat ने पुष्टि की कि सार्वजनिक एक्सप्लॉइट कोड मौजूद है। उसी दिन, 4 कर्नेल LPE (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) के काम करने वाले एक्सप्लॉइट समन्वित प्रकटीकरण के अंतर्गत प्रकाशित हुए। हम जाँचते हैं कि साझा-होस्ट विशेषाधिकार वृद्धि सीमा उपकरणों के बाद सुर्खियों में क्यों आ रही है।
यह लेख मशीन से अनुवादित किया गया था।
18 सितंबर 2026 को CISA ने सक्रिय शोषण के साक्ष्य के आधार पर 3 Linux कर्नेल भेद्यताओं को अपने Known Exploited Vulnerabilities (KEV) कैटलॉग में जोड़ा: CVE-2025-39682 (CVSS 9.8, कर्नेल TLS प्राप्ति पथ में अनुचित शर्त जाँच, जिससे मेमोरी प्रकटीकरण या सेवा-अस्वीकृति हो सकती है), CVE-2026-53266 (CVSS 8.8, netfilter ब्रिज ebtables SNAT ARP पुनर्लेखन पथ में सीमा-बाह्य लेखन, जिससे स्थानीय विशेषाधिकार वृद्धि संभव होती है), और CVE-2025-39964 (CVSS 7.8, एक रेस कंडीशन जो उसी AF_ALG सॉकेट पर समवर्ती लेखन की अनुमति देती है)। संघीय नागरिक एजेंसियों को सुधार लागू करने के लिए 21 सितंबर तक का समय दिया गया। 3 में से किसी के लिए भी CISA ने अभियान विवरण या थ्रेट-ऐक्टर आरोपण प्रकाशित नहीं किया है, और यह अस्पष्ट है कि वे एक ही हमला शृंखला बनाते हैं या नहीं। जो ज्ञात है: Red Hat ने 19 सितंबर तक इन 3 की सलाह अपडेट कर कहा कि CVE उच्च जोखिम है और ज्ञात सार्वजनिक एक्सप्लॉइट मौजूद हैं, तथा उच्च-प्राथमिकता उपचार का आग्रह किया (The Hacker News, CISA, और Red Hat के अनुसार)।
उसी दिन, एक अलग धारा ने कर्नेल हमला सतह को चौड़ा किया। सुरक्षा शोधकर्ता Asim Manizada ने मध्य जुलाई में Linux कर्नेल सुरक्षा दल को 4 स्थानीय विशेषाधिकार वृद्धि (LPE) दोष रिपोर्ट किए थे — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, TUN/TAP वर्चुअल नेटवर्क डिवाइस), PPPoEject (CVE-2026-68121, PPPoE), और DiagSpill (CVE-2026-74469, SCTP का sctp_diag)। 18 सितंबर को, वितरणों को सुधार भेजने का समय देने के लिए समन्वित रोक के बाद, उन्होंने काम करने वाले एक्सप्लॉइट के साथ तकनीकी लेख प्रकाशित किए। ये 4 वर्तमान कर्नेल में ठीक हैं और वास्तविक उपयोग की कोई रिपोर्ट नहीं है। परंतु 4 में से 3 — DirtyAH6, TUNderflow, PPPoEject — यह मानकर चलते हैं कि अनधिकृत उपयोगकर्ता नेमस्पेस सक्षम हैं, एक सुविधा जिसे कई वितरण डिफ़ॉल्ट रूप से सक्षम करते हैं; चौथा, DiagSpill, तब तक कोई विशेष विशेषाधिकार नहीं माँगता जब तक SCTP मॉड्यूल उपलब्ध हो (The Hacker News की रिपोर्ट के अनुसार)।
विश्लेषण (तथ्यों से पृथक): दोनों कहानियों का उसी दिन उतरना 'प्रवेश' से 'उसके बाद क्या आता है' की ओर जोर के बदलाव को चिह्नित करता है। पिछले सप्ताह इस वेधशाला ने इंटरनेट की ओर मुख वाले सीमा उपकरणों के रूट समझौते को कवर किया था — Cisco ISE और Secure Email Gateway। सीमा उपकरण डिज़ाइन से पहुँच योग्य हैं, इसलिए 'क्या यह एक्सपोज़्ड है' प्रश्न स्वयं उत्तर दे देता है; इस सप्ताह के कर्नेल दोष सब स्थानीय-प्रथम हैं (दूरस्थ ट्रिगर संकीर्ण और क्रैश-केंद्रित है)। हमलावर की दृष्टि से जो मायने रखता है वह साझा होस्ट पर प्रारंभिक पैर जमाने से रूट तक रास्तों का बढ़ता मेनू है। कंटेनर होस्ट, CI रनर, बहु-किरायेदार सर्वर, और एआई वर्कलोड वातावरण सब ऐसी परिसंपत्तियाँ हैं जिनकी संचालन धारणा है कि 'यहाँ कई पक्ष निम्न-विशेषाधिकार शेल रखते हैं' — हर सार्वजनिक एक्सप्लॉइट जो उतरता है पार्श्व गति की लागत घटाता है। प्रकाशित एक्सप्लॉइट के बारे में कहा गया है कि उन्हें विशिष्ट कर्नेल बिल्ड के अनुसार ट्यून करना पड़ता है और वे मशीन क्रैश कर सकते हैं; यह विकास लागत के बारे में कथन है, शोषण-योग्यता के बारे में नहीं।
रक्षात्मक निहितार्थ: (1) 3 KEV प्रविष्टियाँ CISA के BOD 26-04 की फ़ोरेंसिक-ट्राइएज आवश्यकताओं के अधीन हैं, केवल पैचिंग के नहीं — पैच से पहले के समझौते के लिए लॉग की समीक्षा आधार रेखा है। (2) उपयोगकर्ता नेमस्पेस कई वर्कलोड के लिए आवश्यक हैं, परंतु जिन सर्वरों को उनकी ज़रूरत नहीं, वहाँ उन्हें अक्षम करना मूल्यांकन के योग्य है: यह तथ्य कि 4 नए LPE में से 3 इस एक डिफ़ॉल्ट सेटिंग को मानकर चलते हैं दिखाता है कि कर्नेल हमला सतह का कितना भाग एक कॉन्फ़िगरेशन विकल्प पर टिका है। (3) साझा होस्टों पर, संरचना की ही इन्वेंटरी करें — किरायेदार अलगाव, अल्पकालिक CI रनर, एआई वर्कलोड का अलगाव — प्रति-CVE पैचिंग के साथ, क्योंकि 'एक व्यक्ति को रूट मिले, सब हारें' एक डिज़ाइन गुण है, पैच स्तर नहीं। (4) चूँकि कर्नेल-स्पेस समझौता उपयोगकर्ता-स्पेस एजेंटों को अदृश्य रहता है, eBPF-आधारित रनटाइम पहचान और कर्नेल-अखंडता निगरानी से पूरक करना एक यथार्थवादी विकल्प है। यहाँ के तथ्य CISA के KEV अलर्ट (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), KEV परिवर्धन पर The Hacker News का कवरेज (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) और 4 LPE प्रकटीकरणों पर कवरेज (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html), तथा Red Hat की सलाह (https://access.redhat.com/security/cve/cve-2025-39682) पर आधारित हैं। विश्लेषण को रिपोर्टिंग से अलग रखा गया है।