Peken nalika dalan menyang root lokal kebukak bebarengan — LPE kernel Linux mlebu katalog KEV CISA nalika eksploitasi umum teka
Ing tanggal 18 September, CISA nambahake 3 cacat kernel Linux sing dieksploitasi kanthi aktif (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) menyang katalog KEV lan Red Hat mesthekake yen kode eksploitasi umum ana. Ing dina sing padha, eksploitasi sing bisa dianggo kanggo 4 LPE kernel (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) kababar ing pambukak sing dikordinasi. Tulisan iki nliti yagene eskalasi hak ing host sing dianggo bareng ngetutake piranti wates menyang sorotan.
Artikel iki dijarwakake dening mesin.
Ing tanggal 18 September 2026, CISA nambahake 3 cacat kernel Linux menyang katalog Known Exploited Vulnerabilities (KEV) adhedhasar bukti eksploitasi aktif: CVE-2025-39682 (CVSS 9.8, pamriksan kondisi sing ora bener ing jalur nampa TLS kernel sing ngidini kabukake memori utawa denial-of-service), CVE-2026-53266 (CVSS 8.8, tulis njobo wates ing jalur nulis ulang ARP SNAT ebtables bridge netfilter sing ngidini eskalasi hak lokal), lan CVE-2025-39964 (CVSS 7.8, race condition sing ngidini tulis bebarengan menyang soket AF_ALG sing padha). Badan sipil federal diwenehi wektu nganti tanggal 21 September kanggo ngetrapake dandan. Kanggo 3 iku kabeh, CISA ora mbabar rincian kampanye utawa atribusi aktor ancaman, lan apa dheweke mbentuk 1 rantai panyerangan isih ora cetha. Sing wis dingerteni: Red Hat nganyari nasihat kanggo kabeh 3 ing tanggal 19 September kanggo nyatakake yen CVE iku risiko dhuwur lan eksploitasi umum sing wis dikenal ana, lan ndesek dandan kanthi prioritas dhuwur (miturut The Hacker News, CISA, lan Red Hat).
Ing dina sing padha, arus liyane ngambakake lumah panyerangan kernel. Peneliti kaamanan Asim Manizada wis nglaporake 4 cacat eskalasi hak lokal (LPE) menyang tim kaamanan kernel Linux ing tengah Juli — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, piranti jaringan virtual TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE), lan DiagSpill (CVE-2026-74469, sctp_diag SCTP). Ing tanggal 18 September, sawise tahan sing dikordinasi supaya distribusi bisa ngirim dandan, dheweke mbabar tulisan teknis kanthi eksploitasi sing bisa dianggo. Kabeh 4 wis ditambal ing kernel saiki lan ora ana pawarta panggunaan ing donya nyata. Nanging 3 saka 4 — DirtyAH6, TUNderflow, PPPoEject — perlu syarat yen user namespace tanpa hak wis diuripake, fitur sing akeh distribusi uripake kanthi gawan; sing kaping 4, DiagSpill, ora perlu hak khusus babar pisan salawase modul SCTP kasedhiya (miturut pawarta The Hacker News).
Analisis (kapisah saka fakta): tekané 2 crita ing dina sing padha nandhani owah-owahan tekanan saka «lawang mlebu» menyang «apa sing teka sawise». Peken kepungkur observatorium iki nutupi kompromi root piranti wates sing madhep internet — Cisco ISE lan Secure Email Gateway. Piranti wates bisa ditekani miturut rancangan, mula pitakon «apa kebukak» wis kejawab dhewe; cacat kernel peken iki kabeh utamane lokal (pemicu jarak jauh ciut lan pusate crash). Sing wigati saka sisih panyerang yaiku menu dalan sing saya akeh saka papan sikil wiwitan ing host sing dianggo bareng menyang root. Host kontainer, CI runner, server multi-tenant, lan lingkungan beban kerja AI kabeh aset sing anggepan kerjane «pirang-pirang pihak nyekel shell hak cilik ing kene» — saben eksploitasi umum sing teka ngedhunake biaya obah menyang sisih. Miturut pawarta, eksploitasi sing kababar perlu disetel menyang build kernel tartamtu lan bisa nabrak mesin; iku pratelan bab biaya pangembangan, dudu bab bisa-dieksploitasine.
Akibat kanggo pangreksa: (1) 3 entri KEV kena syarat triase forensik BOD 26-04 CISA, ora mung ditambal — mriksa log kanggo kompromi sadurunge tambalan yaiku dhasar. (2) User namespace wigati kanggo akeh beban kerja, nanging ing server sing ora perlu, mateni namespace iku pantes ditimbang: fakta yen 3 saka 4 LPE anyar perlu syarat 1 setelan gawan iki nuduhake sepira amba lumah panyerangan kernel gumantung ing 1 pilihan konfigurasi. (3) Ing host sing dianggo bareng, dhaftar struktur dhewe — isolasi tenant, CI runner sing singkat umure, misahake beban kerja AI — bebarengan karo tambalan saben CVE, amarga «1 wong entuk root, kabeh kalah» yaiku sifat rancangan, dudu tataran tambalan. (4) Amarga kompromi ruang kernel ora katon dening agen ruang pangguna, nglengkapi karo deteksi runtime adhedhasar eBPF lan pemantauan integritas kernel yaiku pilihan sing nyata. Fakta ing kene dijupuk saka lansiran KEV CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), liputan The Hacker News bab tambahan KEV (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) lan bab pambukak 4 LPE (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html), lan nasihat Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). Analisis dijaga kapisah saka pawarta.