وہ ہفتہ جب مقامی روٹ کا راستہ ایک ساتھ کھلا — Linux کرنل LPE، عوامی ایکسپلائٹ آتے ہی CISA کے KEV کیٹلاگ میں
18 ستمبر کو CISA نے 3 فعال طور پر استحصال شدہ Linux کرنل نقائص (CVE-2025-39682، CVE-2026-53266، CVE-2025-39964) KEV کیٹلاگ میں شامل کیے اور Red Hat نے تصدیق کی کہ عوامی ایکسپلائٹ کوڈ موجود ہے۔ اسی دن، 4 کرنل LPE (DirtyAH6، TUNderflow، PPPoEject، DiagSpill) کے کام کرنے والے ایکسپلائٹ مربوط انکشاف کے تحت شائع ہوئے۔ ہم جائزہ لیتے ہیں کہ مشترکہ ہوسٹ پر مراعات میں اضافہ سرحدی آلات کے بعد توجہ میں کیوں آ رہا ہے۔
یہ مضمون مشین سے ترجمہ کیا گیا ہے۔
18 ستمبر 2026 کو CISA نے فعال استحصال کے ثبوت کی بنیاد پر 3 Linux کرنل کمزوریاں اپنے Known Exploited Vulnerabilities (KEV) کیٹلاگ میں شامل کیں: CVE-2025-39682 (CVSS 9.8، کرنل TLS وصولی کے راستے میں نامناسب شرط کی جانچ، جس سے میموری افشا یا سروس سے انکار ہو سکتا ہے)، CVE-2026-53266 (CVSS 8.8، netfilter برج ebtables SNAT ARP دوبارہ تحریر کے راستے میں حد سے باہر تحریر، جو مقامی مراعات میں اضافہ ممکن بناتی ہے)، اور CVE-2025-39964 (CVSS 7.8، ایک ریس کنڈیشن جو اسی AF_ALG ساکٹ پر ہم وقت تحریر کی اجازت دیتی ہے)۔ وفاقی شہری ایجنسیوں کو اصلاحات لگانے کے لیے 21 ستمبر تک مہلت دی گئی۔ ان 3 میں سے کسی کے لیے بھی CISA نے مہم کی تفصیل یا تھریٹ ایکٹر کی نسبت شائع نہیں کی، اور یہ غیر واضح ہے کہ وہ ایک ہی حملہ زنجیر بناتے ہیں یا نہیں۔ جو معلوم ہے: Red Hat نے 19 ستمبر تک ان 3 کے مشورے تازہ کر کے کہا کہ CVE بلند خطرہ ہے اور معروف عوامی ایکسپلائٹ موجود ہیں، اور اعلی ترجیح علاج کا مطالبہ کیا (The Hacker News، CISA، اور Red Hat کے مطابق)۔
اسی دن، ایک الگ دھارے نے کرنل حملے کی سطح کو چوڑا کیا۔ سیکیورٹی محقق Asim Manizada نے جولائی کے وسط میں Linux کرنل سیکیورٹی ٹیم کو 4 مقامی مراعات میں اضافہ (LPE) نقائص رپورٹ کیے تھے — DirtyAH6 (CVE-2026-80844، IPsec AH6)، TUNderflow (CVE-2026-81000، TUN/TAP ورچوئل نیٹ ورک ڈیوائس)، PPPoEject (CVE-2026-68121، PPPoE)، اور DiagSpill (CVE-2026-74469، SCTP کا sctp_diag)۔ 18 ستمبر کو، تقسیم کاروں کو اصلاحات بھیجنے کا وقت دینے والی مربوط روک کے بعد، انہوں نے کام کرنے والے ایکسپلائٹ کے ساتھ فنی تحریریں شائع کیں۔ یہ 4 موجودہ کرنل میں درست ہیں اور حقیقی استعمال کی کوئی رپورٹ نہیں۔ مگر 4 میں سے 3 — DirtyAH6، TUNderflow، PPPoEject — یہ فرض کرتے ہیں کہ غیر مراعات یافتہ صارف نیم اسپیس فعال ہیں، ایک سہولت جسے کئی تقسیمیں طے شدہ طور پر فعال کرتی ہیں؛ 4 واں، DiagSpill، جب تک SCTP ماڈیول دستیاب ہو کوئی خاص مراعات نہیں مانگتا (The Hacker News کی رپورٹ کے مطابق)۔
تجزیہ (حقائق سے الگ): دونوں کہانیوں کا اسی دن اترنا 'داخلے' سے 'اس کے بعد کیا آتا ہے' کی طرف زور کی تبدیلی کو نشان زد کرتا ہے۔ پچھلے ہفتے اس آبزرویٹری نے انٹرنیٹ کی طرف رخ والے سرحدی آلات کے روٹ سمجھوتے کو کور کیا تھا — Cisco ISE اور Secure Email Gateway۔ سرحدی آلات ڈیزائن سے قابل رسائی ہیں، اس لیے 'کیا یہ ایکسپوزڈ ہے' سوال خود جواب دے دیتا ہے؛ اس ہفتے کے کرنل نقائص سب مقامی اول ہیں (بعید ٹرگر تنگ اور کریش مرکز ہے)۔ حملہ آور کی نظر سے جو اہم ہے وہ مشترکہ ہوسٹ پر ابتدائی قدم جمانے سے روٹ تک راستوں کا بڑھتا مینو ہے۔ کنٹینر ہوسٹ، CI رنر، کثیر کرایہ دار سرور، اور اے آئی ورک لوڈ ماحول سب ایسے اثاثے ہیں جن کا چلنے کا مفروضہ ہے کہ 'یہاں کئی فریق کم مراعات والے شیل رکھتے ہیں' — ہر عوامی ایکسپلائٹ جو اترتا ہے پہلو کی حرکت کی لاگت گھٹاتا ہے۔ شائع شدہ ایکسپلائٹ کے بارے میں کہا گیا ہے کہ انہیں مخصوص کرنل بلڈ کے مطابق ٹیون کرنا پڑتا ہے اور وہ مشین کریش کر سکتے ہیں؛ یہ ترقی کی لاگت کے بارے میں بیان ہے، استحصال پذیری کے بارے میں نہیں۔
دفاعی مضمرات: (1) 3 KEV اندراجات CISA کے BOD 26-04 کی فرانزک ٹرائیج شرائط کے تابع ہیں، صرف پیچنگ کے نہیں — پیچ سے پہلے کے سمجھوتے کے لیے لاگ کا جائزہ بنیادی لکیر ہے۔ (2) صارف نیم اسپیس کئی ورک لوڈ کے لیے ضروری ہیں، مگر جن سروروں کو ان کی ضرورت نہیں، وہاں انہیں بند کرنا جائزے کے لائق ہے: یہ حقیقت کہ 4 نئے LPE میں سے 3 یہ ایک طے شدہ ترتیب فرض کرتے ہیں دکھاتی ہے کہ کرنل حملے کی سطح کا کتنا حصہ ایک کنفیگریشن انتخاب پر ٹکا ہے۔ (3) مشترکہ ہوسٹوں پر، ساخت کی ہی فہرست بنائیں — کرایہ دار علیحدگی، عارضی CI رنر، اے آئی ورک لوڈ کی علیحدگی — فی CVE پیچنگ کے ساتھ، کیونکہ 'ایک شخص کو روٹ ملے تو سب ہاریں' ایک ڈیزائن خصوصیت ہے، پیچ کی سطح نہیں۔ (4) چونکہ کرنل اسپیس سمجھوتہ صارف اسپیس ایجنٹوں کو نظر نہیں آتا، eBPF پر مبنی رن ٹائم شناخت اور کرنل سالمیت کی نگرانی سے تکمیل ایک حقیقت پسندانہ اختیار ہے۔ یہاں کے حقائق CISA کے KEV الرٹ (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog)، KEV اضافوں پر The Hacker News کی کوریج (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) اور 4 LPE انکشافات پر کوریج (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html)، اور Red Hat کے مشورے (https://access.redhat.com/security/cve/cve-2025-39682) پر مبنی ہیں۔ تجزیے کو رپورٹنگ سے الگ رکھا گیا ہے۔