Ядро Linux содержит уязвимость CVE-2026-64355, из-за которой процесс способен прочитать данные за пределами выделенного буфера. Удалённый злоумышленник может вызвать отказ в обслуживании. Оценка по CVSS 3.1 достигает 9,8, по CVSS 2.0 - 10. Это критический уровень опасности. В перечень затронутых систем попадают Debian GNU/Linux, Ubuntu, Red Hat Enterprise Linux и Astra Linux Special Edition.
Уязвимость CVE-2026-64355 в ядре Linux и дистрибутивах
Ошибка относится к классу CWE-125, чтение за границами буфера. Ядро обращается к участку памяти, который ему не выделен. Такой доступ ломает нормальную работу подсистемы и приводит к сбою. В карточке BDU способ эксплуатации описан как манипулирование структурами данных.
Базовый вектор не требует учётных данных и участия пользователя. Атака идёт по сети, сложность эксплуатации низкая. Последствие в описании одно - отказ в обслуживании. Вектор CVSS при этом даёт высокие оценки по конфиденциальности, целостности и доступности, то есть последствия могут выйти за рамки простого сбоя.
Публичных данных о работающем эксплойте пока нет. Статус наличия эксплойта в карточке помечен как "данные уточняются". Уязвимость при этом подтверждена производителем, а исправление уже внесено в основную ветку ядра.
Кого затрагивает CVE-2026-64355
Уязвимы ветки ядра с 5.14 по 7.1.4, включая линейки 5.15, 6.1, 6.6, 6.12 и 6.18. Проблема затрагивает инфраструктуру, где ядро обновляют редко: серверы, системы виртуализации, сетевые шлюзы, встраиваемые платформы. Отказ в обслуживании на таком узле останавливает не одну программу, а всю машину.
В дистрибутивах затронуты Debian GNU/Linux с 9 по 13, Ubuntu 20.04, 22.04, 24.04 и 26.04 LTS, Red Hat Enterprise Linux 8, 9 и 10, а также Astra Linux Special Edition 1.7. Список широкий, потому что все эти системы используют общее ядро. Сроки выпуска исправлений у вендоров различаются, и это главный практический риск.
Astra Linux получила отдельные пакеты
Для Astra Linux Special Edition 1.7 исправление вышло в двух ветках. Пакет linux-6.1 нужно поднять до версии 6.1.188-1.astra1+ci1 или выше. Пакет linux-5.15 обновляют до 5.15.0-199.astra1+ci233 или выше. Ссылка на бюллетень с точными версиями опубликована в вики проекта.
Обновление ядра требует перезагрузки. На кластерах и в системах с жёсткими требованиями к доступности это стоит планировать заранее. Проверить текущую версию помогает штатный пакетный менеджер дистрибутива.
Что делать администраторам
Первый шаг - обновить ядро до версии, которую вендор отметил как исправленную. Для Debian, Ubuntu и Red Hat сведения собраны в их трекерах безопасности: у Debian это security-tracker и трекер расширенной поддержки LTS, у Ubuntu и Red Hat - отдельные страницы с CVE. Для основного ядра патч доступен в репозитории git.kernel.org.
Если обновление пока недоступно, стоит применить "Рекомендации по безопасной настройке операционных систем LINUX" от ФСТЭК России, утверждённые 25 декабря 2022 года. Документ описывает ограничение сетевого доступа к служебным интерфейсам, разграничение прав и сокращение числа запущенных сервисов. Эти меры не закрывают уязвимость, но уменьшают число точек, через которые её можно использовать.
Отдельно проверяют контейнеры и образы виртуальных машин. Они наследуют ядро хоста, поэтому обновление одного физического сервера закрывает проблему для всех гостевых систем на нём. Для встраиваемых устройств с собственным ядром придётся ждать прошивки от производителя.
История с CVE-2026-64355 показывает типичную слабость общей инфраструктуры. Одна ошибка в ядре тиражируется по десяткам дистрибутивов, а исправления приходят в разное время. Быстрее всех обычно реагируют проекты с коротким циклом поддержки, медленнее - промышленные и встраиваемые платформы. Именно там отказ в обслуживании обходится дороже всего.
Ссылки
- https://bdu.fstec.ru/vul/2026-18272
- https://www.cve.org/CVERecord?id=CVE-2026-64355
- https://nvd.nist.gov/vuln/detail/CVE-2026-64355
- https://security-tracker.debian.org/tracker/CVE-2026-64355
- https://deb.freexian.com/extended-lts/tracker/CVE-2026-64355
- https://git.kernel.org/linus/aa496720618f1a6054f1c870bf10b4f6c99bf656
- https://git.kernel.org/stable/c/07a4c11ee8ef4abcb39d922e9e410ae269671cdf
- https://git.kernel.org/stable/c/47baddc856ae7e93a565dd9deeb797999b179466
- https://git.kernel.org/stable/c/51d07c12ca411e692c424ecdabf077f1e61a61be
- https://git.kernel.org/stable/c/a9bb2d9c798cb62a4050a991c27b752770c33afe
- https://git.kernel.org/stable/c/aa496720618f1a6054f1c870bf10b4f6c99bf656
- https://git.kernel.org/stable/c/bccbab36ff228e0825eb85d9b0f9b8434cd0a399
- https://git.kernel.org/stable/c/c5b4f5efcb55c1af3fe44ff712d31b7fb098a831
- https://github.com/torvalds/linux/commit/a9bb2d9c798cb62a4050a991c27b752770c33afe
- https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-1014SE17HF
- https://ubuntu.com/security/CVE-2026-64355
- https://access.redhat.com/security/cve/CVE-2026-64355
