Неделя, когда путь к локальному root открылся сразу — LPE ядра Linux попали в каталог KEV CISA, пока выходят публичные эксплойты
18 сентября CISA добавила три активно эксплуатируемых изъяна ядра Linux (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) в каталог KEV, а Red Hat подтвердила, что существует публичный код эксплойта. В тот же день в рамках скоординированного раскрытия были опубликованы рабочие эксплойты для четырёх LPE ядра (DirtyAH6, TUNderflow, PPPoEject, DiagSpill). Мы рассматриваем, почему повышение привилегий на общем узле следует за граничными устройствами в центр внимания.
Эта статья была переведена машиной.
18 сентября 2026 года CISA добавила три уязвимости ядра Linux в свой каталог Known Exploited Vulnerabilities (KEV) на основании свидетельств активной эксплуатации: CVE-2025-39682 (CVSS 9.8, некорректная проверка условия на пути приёма TLS ядра, допускающая раскрытие памяти или отказ в обслуживании), CVE-2026-53266 (CVSS 8.8, запись за пределами на пути перезаписи ARP SNAT ebtables моста netfilter, дающая локальное повышение привилегий) и CVE-2025-39964 (CVSS 7.8, состояние гонки, допускающее одновременные записи в один и тот же сокет AF_ALG). Федеральным гражданским ведомствам был дан срок до 21 сентября, чтобы применить исправления. Ни по одной из трёх CISA не опубликовала подробности кампании или атрибуцию действующего лица угрозы, и остаётся неясным, образуют ли они единую цепочку атаки. Что известно: Red Hat обновила рекомендации по всем трём по состоянию на 19 сентября, заявив, что CVE несёт высокий риск и что известны публичные эксплойты, и призвала к устранению с высоким приоритетом (по The Hacker News, CISA и Red Hat).
В тот же день отдельное течение расширило поверхность атаки на ядро. Исследователь безопасности Asim Manizada сообщил команде безопасности ядра Linux о четырёх изъянах локального повышения привилегий (LPE) в середине июля — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, виртуальные сетевые устройства TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE) и DiagSpill (CVE-2026-74469, sctp_diag в SCTP). 18 сентября, после скоординированной паузы, чтобы дистрибутивы могли выпустить исправления, он опубликовал технические разборы с рабочими эксплойтами. Все четыре исправлены в текущих ядрах, и сообщений о применении в реальной среде нет. Но три из четырёх — DirtyAH6, TUNderflow и PPPoEject — предполагают, что включены непривилегированные пространства имён пользователей, функцию, которую многие дистрибутивы включают по умолчанию; четвёртый, DiagSpill, не требует никаких особых привилегий, пока доступен модуль SCTP (по сообщению The Hacker News).
Анализ (отделён от фактов): появление обеих историй в один день отмечает сдвиг акцента со «входа» на «то, что следует после». На прошлой неделе эта обсерватория разбирала компрометацию root граничных устройств, обращённых в интернет, — Cisco ISE и Secure Email Gateway. Граничные устройства достижимы по замыслу, поэтому вопрос «открыто ли оно» отвечает сам на себя; изъяны ядра на этой неделе все начинаются локально (удалённый запуск узок и сосредоточен на аварийном завершении). С точки зрения атакующего важно растущее меню путей от первоначальной точки опоры на общем узле до root. Узлы контейнеров, исполнители CI, серверы с несколькими арендаторами и среды нагрузок ИИ — всё это активы, чья рабочая посылка такова: «несколько сторон держат здесь оболочки с низкими привилегиями», — и каждый публичный эксплойт, который появляется, снижает стоимость бокового перемещения. Опубликованные эксплойты, по сообщениям, требуют подстройки под конкретные сборки ядра и могут обрушить машину; это утверждение о стоимости разработки, а не об эксплуатируемости.
Выводы для защиты: (1) Три записи KEV подлежат требованиям криминалистической сортировки по BOD 26-04 CISA, а не только исправлению — просмотр журналов на предмет компрометации до исправления является базовой линией. (2) Пространства имён пользователей необходимы многим нагрузкам, но на серверах, которым они не нужны, их отключение стоит оценить: то, что три из четырёх новых LPE предполагают эту одну настройку по умолчанию, показывает, какая часть поверхности атаки ядра держится на одном выборе конфигурации. (3) На общих узлах инвентаризируйте саму структуру — изоляцию арендаторов, эфемерные исполнители CI, изоляцию нагрузок ИИ — наряду с исправлением по каждому CVE, потому что «один получает root — теряют все» есть свойство конструкции, а не уровень исправления. (4) Поскольку компрометация пространства ядра невидима для агентов пользовательского пространства, дополнение обнаружением во время выполнения на основе eBPF и наблюдением за целостностью ядра является реалистичным вариантом. Факты здесь опираются на оповещение KEV CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), освещение The Hacker News добавлений в KEV (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) и четырёх раскрытий LPE (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html), а также на рекомендацию Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). Анализ отделён от изложения.