Pekan ketika jalan menuju root lokal terbuka sekaligus — LPE kernel Linux masuk katalog KEV CISA saat eksploit publik muncul
Pada 18 September, CISA menambahkan tiga cacat kernel Linux yang dieksploitasi secara aktif (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) ke katalog KEV dan Red Hat mengonfirmasi bahwa kode eksploit publik ada. Pada hari yang sama, eksploit yang berfungsi untuk empat LPE kernel (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) diterbitkan di bawah pengungkapan terkoordinasi. Kami menelaah mengapa eskalasi hak istimewa pada host bersama mengikuti appliance batas ke dalam sorotan.
Artikel ini diterjemahkan oleh mesin.
Pada 18 September 2026, CISA menambahkan tiga kerentanan kernel Linux ke katalog Known Exploited Vulnerabilities (KEV) berdasarkan bukti eksploitasi aktif: CVE-2025-39682 (CVSS 9.8, pemeriksaan kondisi yang tidak tepat pada jalur terima TLS kernel yang memungkinkan pengungkapan memori atau denial-of-service), CVE-2026-53266 (CVSS 8.8, penulisan di luar batas pada jalur penulisan ulang ARP SNAT ebtables bridge netfilter yang memungkinkan eskalasi hak istimewa lokal), dan CVE-2025-39964 (CVSS 7.8, kondisi balapan yang memungkinkan penulisan bersamaan ke socket AF_ALG yang sama). Lembaga sipil federal diberi waktu hingga 21 September untuk menerapkan perbaikan. Untuk tidak satu pun dari ketiganya CISA menerbitkan detail kampanye atau atribusi pelaku ancaman, dan apakah ketiganya membentuk satu rantai serangan tetap tidak jelas. Yang diketahui: Red Hat memperbarui advisori untuk ketiganya per 19 September untuk menyatakan bahwa CVE tersebut berisiko tinggi dan eksploit publik yang diketahui ada, serta mendesak remediasi prioritas tinggi (menurut The Hacker News, CISA, dan Red Hat).
Pada hari yang sama, arus yang terpisah memperlebar permukaan serangan kernel. Peneliti keamanan Asim Manizada telah melaporkan empat cacat local privilege escalation (LPE) kepada tim keamanan kernel Linux pada pertengahan Juli — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, perangkat jaringan virtual TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE), dan DiagSpill (CVE-2026-74469, sctp_diag milik SCTP). Pada 18 September, setelah penahanan terkoordinasi agar distribusi dapat mengirim perbaikan, ia menerbitkan tulisan teknis dengan eksploit yang berfungsi. Keempatnya telah diperbaiki di kernel terkini dan tidak ada laporan penggunaan di dunia nyata. Tetapi tiga dari empat — DirtyAH6, TUNderflow, PPPoEject — mengandaikan bahwa user namespace tanpa hak istimewa diaktifkan, fitur yang banyak distribusi aktifkan secara bawaan; yang keempat, DiagSpill, tidak memerlukan hak istimewa khusus sama sekali selama modul SCTP tersedia (menurut pemberitaan The Hacker News).
Analisis (dipisahkan dari fakta): mendaratnya kedua cerita pada hari yang sama menandai pergeseran penekanan dari 'pintu masuk' ke 'apa yang datang setelahnya.' Pekan lalu observatorium ini membahas kompromi root pada appliance batas yang menghadap internet — Cisco ISE dan Secure Email Gateway. Appliance batas dapat dijangkau berdasarkan desain, sehingga pertanyaan 'apakah terpapar' menjawab dirinya sendiri; cacat kernel pekan ini semuanya local-first (pemicu jarak jauh sempit dan berpusat pada crash). Yang penting dari sudut penyerang adalah menu jalur yang bertambah, dari pijakan awal pada host bersama menuju root. Host kontainer, runner CI, server multi-tenant, dan lingkungan beban kerja AI semuanya adalah aset yang asumsi operasinya ialah 'beberapa pihak memegang shell berhak rendah di sini' — setiap eksploit publik yang muncul menurunkan biaya pergerakan lateral. Eksploit yang diterbitkan dilaporkan memerlukan penyesuaian terhadap build kernel tertentu dan dapat membuat mesin crash; itu adalah pernyataan tentang biaya pengembangan, bukan tentang exploitability.
Implikasi defensif: (1) Tiga entri KEV tunduk pada persyaratan triase forensik dalam BOD 26-04 CISA, bukan hanya patching — meninjau log untuk kompromi sebelum patch adalah garis dasar. (2) User namespace penting bagi banyak beban kerja, tetapi pada server yang tidak memerlukannya, menonaktifkannya layak dievaluasi: fakta bahwa tiga dari empat LPE baru mengandaikan satu pengaturan bawaan ini menunjukkan betapa banyak permukaan serangan kernel bergantung pada satu pilihan konfigurasi. (3) Pada host bersama, inventarisasi strukturnya sendiri — isolasi tenant, runner CI yang efemeral, isolasi beban kerja AI — bersamaan dengan patching per-CVE, karena 'satu orang mendapat root, semua orang rugi' adalah sifat desain, bukan tingkat patch. (4) Karena kompromi ruang kernel tidak terlihat oleh agen ruang pengguna, melengkapinya dengan deteksi runtime berbasis eBPF dan pemantauan integritas kernel adalah opsi yang realistis. Fakta di sini bersumber dari peringatan KEV CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), liputan The Hacker News tentang penambahan KEV (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) dan tentang empat pengungkapan LPE (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html), serta advisori Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). Analisis dijaga terpisah dari pelaporan.