Pekan nalika jalan ka root lokal kabuka sakaligus — LPE kernel Linux asup katalog KEV CISA nalika éksploitasi publik medal
Dina 18 Séptémber, CISA nambahan tilu cacad kernel Linux anu diéksploitasi aktip (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) kana katalog KEV jeung Red Hat ngonfirmasi kode éksploitasi publik aya. Dina poé anu sami, éksploitasi anu tiasa dianggo pikeun opat LPE kernel (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) diterbitkeun dina pangungkab anu dikoordinasi. Urang nalungtik naha éskalasi hak dina host babarengan nuturkeun pakakas wates ka sorotan.
Artikel ieu ditarjamahkeun ku mesin.
Dina 18 Séptémber 2026, CISA nambahan tilu kalemahan kernel Linux kana katalog Known Exploited Vulnerabilities (KEV) dumasar bukti éksploitasi aktip: CVE-2025-39682 (CVSS 9.8, pamariksaan kaayaan anu teu leres dina jalur panarimaan TLS kernel anu ngidinan panyingkab mémori atanapi denial-of-service), CVE-2026-53266 (CVSS 8.8, tulisan di luar wates dina jalur nulis deui ARP SNAT ebtables sasak netfilter anu ngidinan éskalasi hak lokal), jeung CVE-2025-39964 (CVSS 7.8, race condition anu ngidinan tulisan babarengan ka sokét AF_ALG anu sami). Agénsi sipil fédéral dipasihan dugi ka 21 Séptémber pikeun nerapkeun perbaikan. Pikeun teu hiji tina tilu éta CISA medalkeun rinci kampanye atanapi atribusi palaku ancaman, jeung naha maranéhna ngawangun hiji ranté serangan tetep teu écés. Anu dipikanyaho: Red Hat ngapdet naséhat pikeun tilu éta per 19 Séptémber pikeun nyatakeun yén CVE éta résiko luhur jeung éksploitasi publik anu dipikawanoh aya, jeung ngadesek rémédiasi prioritas luhur (numutkeun The Hacker News, CISA, jeung Red Hat).
Dina poé anu sami, arus papisah ngalegaan permukaan serangan kernel. Panalungtik kaamanan Asim Manizada ngalaporkeun opat cacad éskalasi hak lokal (LPE) ka tim kaamanan kernel Linux di tengah Juli — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, pakakas jaringan virtual TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE), jeung DiagSpill (CVE-2026-74469, sctp_diag SCTP). Dina 18 Séptémber, sanggeus tunda anu dikoordinasi sangkan distribusi tiasa ngirim perbaikan, anjeunna medalkeun tulisan téknis jeung éksploitasi anu tiasa dianggo. Kabéh opat geus dilereskeun dina kernel ayeuna jeung teu aya laporan pamakéan di dunya nyata. Tapi tilu tina opat — DirtyAH6, TUNderflow, PPPoEject — nganggap yén namespace pamaké tanpa hak diaktipkeun, fitur anu loba distribusi aktipkeun sacara gawan; anu kaopat, DiagSpill, teu merlukeun hak husus pisan salami modul SCTP sayaga (numutkeun laporan The Hacker News).
Analisis (dipisahkeun tina fakta): datangna dua carita dina poé anu sami nandaan alihan tekenan tina «lawang asup» ka «naon anu datang saatosna». Pekan kamari observatorium ieu nutupan kompromi root pakakas wates anu nyanghareup internét — Cisco ISE jeung Secure Email Gateway. Pakakas wates tiasa dihontal ku desain, jadi patarosan «naha kapapar» ngajawab sorangan; cacad kernel pekan ieu kabéh lokal-heula (pemicu jarak jauh heureut jeung puseurna kacilakaan). Anu penting ti sisi panyerang nyaéta ménu jalur anu beuki loba tina pijakan awal dina host babarengan ka root. Host kontainer, CI runner, server multi-panyewa, jeung lingkungan beban AI kabéh aset anu anggapan operasi nyaéta «sababaraha pihak nyepeng shell hak-handap di dieu» — unggal éksploitasi publik anu medal nurunkeun biaya gerak gurat. Éksploitasi anu diterbitkeun, numutkeun laporan, peryogi panala ka build kernel nu tangtu jeung tiasa nga-crash mesin; éta pernyataan ngeunaan biaya pangwangunan, lain ngeunaan tiasa-diéksploitasi.
Implikasi pertahanan: (1) Tilu éntri KEV tunduk kana sarat triase forénsik BOD 26-04 CISA, lain ngan tambalan — mariksa log pikeun kompromi saméméh tambalan nyaéta garis dasar. (2) Namespace pamaké penting pikeun loba beban, nanging dina server anu teu peryogi, mareumanana pantes dievaluasi: fakta yén tilu tina opat LPE anyar nganggap setélan gawan tunggal ieu nunjukkeun sabaraha permukaan serangan kernel gumantung kana hiji pilihan konfigurasi. (3) Dina host babarengan, inventaris struktur sorangan — isolasi panyewa, CI runner fana, isolasi beban AI — babarengan jeung tambalan per CVE, kusabab «hiji jalma meunang root, kabéh éléh» nyaéta sipat desain, lain tingkat tambalan. (4) Kusabab kompromi rohangan kernel teu katingali ku agén rohangan pamaké, ngalengkepan ku detéksi runtime dumasar eBPF jeung pamantauan integritas kernel nyaéta pilihan anu réalistis. Fakta di dieu dicokot tina waspada KEV CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), liputan The Hacker News ngeunaan tambahan KEV (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) jeung ngeunaan opat pangungkab LPE (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html), jeung naséhat Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). Analisis dijaga papisah tina laporan.