La settimana in cui la strada verso il root locale si è aperta tutta insieme — le LPE del kernel Linux entrano nel catalogo KEV di CISA mentre arrivano exploit pubblici
Il 18 settembre, CISA ha aggiunto tre difetti del kernel Linux attivamente sfruttati (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) al catalogo KEV e Red Hat ha confermato che esiste codice di exploit pubblico. Lo stesso giorno sono stati pubblicati, sotto disclosure coordinata, exploit funzionanti per quattro LPE del kernel (DirtyAH6, TUNderflow, PPPoEject, DiagSpill). Esaminiamo perché l'escalation di privilegi su host condivisi sta seguendo le appliance di confine sotto i riflettori.
Questo articolo è stato tradotto automaticamente.
Il 18 settembre 2026, CISA ha aggiunto tre vulnerabilità del kernel Linux al proprio catalogo Known Exploited Vulnerabilities (KEV) sulla base di prove di sfruttamento attivo: CVE-2025-39682 (CVSS 9.8, un controllo di condizione improprio nel percorso di ricezione TLS del kernel che consente divulgazione di memoria o denial-of-service), CVE-2026-53266 (CVSS 8.8, una scrittura fuori dai limiti nel percorso di riscrittura ARP dello SNAT ebtables del bridge netfilter che consente l'escalation di privilegi locale) e CVE-2025-39964 (CVSS 7.8, una race condition che consente scritture concorrenti sullo stesso socket AF_ALG). Alle agenzie civili federali è stato dato tempo fino al 21 settembre per applicare le correzioni. Per nessuna delle tre CISA ha pubblicato dettagli di campagna o attribuzione dell'attore della minaccia, e resta non chiaro se formino una singola catena di attacco. Ciò che è noto: Red Hat ha aggiornato gli advisory per tutte e tre al 19 settembre per dichiarare che il CVE è ad alto rischio e che esistono exploit pubblici noti, sollecitando una remediation ad alta priorità (secondo The Hacker News, CISA e Red Hat).
Lo stesso giorno, una corrente separata ha allargato la superficie di attacco del kernel. Il ricercatore di sicurezza Asim Manizada aveva segnalato quattro difetti di local privilege escalation (LPE) al team di sicurezza del kernel Linux a metà luglio — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, dispositivi di rete virtuale TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE) e DiagSpill (CVE-2026-74469, sctp_diag di SCTP). Il 18 settembre, dopo una sospensione coordinata affinché le distribuzioni potessero distribuire le correzioni, ha pubblicato write-up tecnici con exploit funzionanti. Tutti e quattro sono corretti nei kernel attuali e non ci sono segnalazioni di uso nel mondo reale. Ma tre dei quattro — DirtyAH6, TUNderflow, PPPoEject — presuppongono che gli user namespace non privilegiati siano abilitati, una funzione che molte distribuzioni abilitano per impostazione predefinita; il quarto, DiagSpill, non richiede alcun privilegio speciale purché il modulo SCTP sia disponibile (secondo la cronaca di The Hacker News).
Analisi (separata dai fatti): l'arrivo nello stesso giorno di entrambe le storie segna uno spostamento di enfasi dall'«ingresso» a «ciò che viene dopo». La settimana scorsa questo osservatorio ha trattato il compromesso root di appliance di confine esposte a Internet — Cisco ISE e il Secure Email Gateway. Le appliance di confine sono raggiungibili per progettazione, quindi la domanda «è esposta» trova risposta da sé; i difetti del kernel di questa settimana sono tutti local-first (l'innesco remoto è ristretto e centrato sul crash). Ciò che conta dalla prospettiva di un attaccante è il menu crescente di percorsi da un primo punto d'appoggio su un host condiviso fino a root. Gli host di container, i runner CI, i server multi-tenant e gli ambienti di workload AI sono tutti asset il cui presupposto operativo è «più parti detengono qui shell a basso privilegio» — ogni exploit pubblico che arriva abbassa il costo del movimento laterale. Gli exploit pubblicati, secondo quanto riportato, richiedono messa a punto su build specifiche del kernel e possono far andare in crash la macchina; questa è un'affermazione sul costo di sviluppo, non sulla sfruttabilità.
Implicazioni difensive: (1) Le tre voci KEV sono soggette ai requisiti di triage forense del BOD 26-04 di CISA, non soltanto all'applicazione delle patch — rivedere i log per un compromesso precedente alla patch è la linea di base. (2) Gli user namespace sono essenziali per molti workload, ma sui server che non ne hanno bisogno disabilitarli merita una valutazione: il fatto che tre delle quattro nuove LPE presuppongano questa singola impostazione predefinita mostra quanta superficie di attacco del kernel dipenda da una scelta di configurazione. (3) Sugli host condivisi, inventariare la struttura stessa — isolamento dei tenant, runner CI effimeri, isolamento dei workload AI — insieme alla patch per ciascun CVE, perché «una persona ottiene root, tutti perdono» è una proprietà di progetto, non un livello di patch. (4) Poiché il compromesso nello spazio kernel è invisibile agli agent nello spazio utente, affiancare il rilevamento runtime basato su eBPF e il monitoraggio dell'integrità del kernel è un'opzione realistica. I fatti qui attingono all'alert KEV di CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), alla copertura di The Hacker News sulle aggiunte al KEV (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) e sulle quattro disclosure di LPE (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html), e all'advisory di Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). L'analisi è tenuta separata dal resoconto.