Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) предупреждава, че хакери експлоатират три уязвимости в ядрото на Linux, една от които е оценена като критична.

Трите проблема със сигурността бяха добавени отделно миналата седмица и имат нива на сериозност вариращи от средно до критично. Една от тях, проследявана като CVE-2025-39964, е съществувала в ядрото на Linux в продължение на 14 години.

CISA отбеляза и трите уязвимости с най-висок приоритет за федералните агенции, като им нареди да приложат наличните актуализации за сигурност и мерки за смекчаване на риска до края на днешния ден.

  • CVE-2025-39964: състояние на надпревара (race condition) в криптографския сокет интерфейс AF_ALG на ядрото, което позволява едновременни записи да компрометират състоянието на даден сокет и потенциално да предизвикат срив на системите или да променят криптографските резултати.
  • CVE-2026-53266: уязвимост за запис извън границите (out-of-bounds write) в ebtables SNAT реализацията на ядрото на Linux, която може да накара презаписването на ARP адрес да модифицира споделена памет, свързана с файл, без първо да направи засегнатия диапазон от пакети достъпен за запис.
  • CVE-2025-39682: логическа уязвимост в пътя за получаване на TLS в ядрото на Linux, която неправилно обработва записи с нулева дължина, опашати за последваща обработка, потенциално позволявайки различни типове TLS записи да бъдат обработвани заедно, когато се използва kTLS.

CISA съобщава [1, 2], че уязвимостите са били експлоатирани при атаки, но не разкрива никакви подробности относно инцидентите или естеството на авторите на заплахите.

Компанията за офанзивна сигурност STAR Labs откри CVE-2025-39964, заявявайки, че нейните изследователи са открили проблема без помощта на система с изкуствен интелект. Те са демонстрирали уязвимостта, постигайки ескалация на привилегии и бягство от контейнер (container escape) в kernelCTF на Google.

За CVE-2025-39682 има налични публични експлойти, както беше потвърдено и от Red Hat в техния бюлетин за сигурност. Red Hat потвърди и за известен наличен експлойт за CVE-2026-53266.

Изследователят Kimmo Suominen публикува технически анализ и инструмент за проследяване на статуса на корекциите за сигурност за CVE-2026-53266 в GitHub, очертавайки потенциален път за ескалация на привилегии, включващ модификации на памет, свързана с файлове.

Въпреки това изследователят отбелязва, че предложената верига за експлоатация е изведена по аналогия с Dirty Pipe и не е била демонстрирана с публичен код за експлоатация.

CISA определи и трите уязвимости като изискващи „криминалистичен триаж“. Това означава, че за всеки засегнат ресурс федералните агенции трябва да го прегледат за признаци, че вече е извършена експлоатация.

Към момента нито една от трите уязвимости не е отбелязана като използвана от групи за изнудващ софтуер (ransomware).