CISA внесла в каталог Known Exploited Vulnerabilities (KEV, перечень уязвимостей с подтверждённой эксплуатацией) две новые записи. Добавление в KEV означает, что агентство располагает свидетельствами реальных атак, а не только теоретической возможности использовать ошибку. Первая запись касается продуктов VMware корпорации Broadcom, включая платформу ESX; вторая - ядра Linux. Затронут инфраструктурный слой виртуализации и операционных систем, который администраторы обновляют реже прикладного ПО.
Состав записей, оценки CVSS и условия эксплуатации
Общего механизма у двух записей нет. В случае VMware речь идёт о недостаточном журналировании: система не фиксирует часть действий, поэтому восстановить ход событий по журналам труднее. В случае Linux - об ошибке в обработке сетевых буферов, из-за которой ядро может записать расшифрованные данные поверх чужих страниц памяти. Даты первых попыток эксплуатации в переданных записях не приводятся, их указывают в карточке KEV.
Недостаточное журналирование в продуктах VMware
Ошибка в том, что часть операций в ESX выполняется без записи в журнал. Администратор с широкими правами может провести такие операции, и следов в системных журналах не останется. Оценка по CVSS - 2.7 из 10, уровень Low. Атака идёт по сети, сложность низкая, нужны высокие привилегии, участие пользователя не требуется. Влияния на конфиденциальность и доступность нет, влияние на целостность низкое.
Затронуты Cloud Foundation веток 9.1.x и 9.0.x и линейки 5.x до 5.2.4, vSphere Foundation 9.1.x и 9.0.x, платформа ESX веток 9.1.x, 9.0.x и 8.0, а также Telco Cloud Platform 5.1.x и 5.0.x. Для ESX границы затронутого диапазона заданы номерами сборок, а не номерами версий. Исправленная версия в записи прямо не названа, номер исправления следует искать в уведомлении Broadcom по продуктам VMware. Обходные меры в записи не приведены.
Потеря отметки о разделяемых фрагментах в ядре Linux
Ядро объединяет сетевые буферы, чтобы не копировать данные лишний раз. При объединении фрагменты страниц переходят из одного буфера в другой, однако пометка о разделяемом фрагменте теряется. Из-за этого протокол ESP (шифрование трафика в составе IPsec) считает буфер безопасным и расшифровывает данные прямо в памяти, связанной со страничным кешем. Оценка по CVSS - 7.8 из 10, уровень High. Поля вектора в записи не заполнены: направление атаки, сложность, привилегии и участие пользователя не указаны, уточнять их нужно в сообщении сопровождающих ядра.
Список версий в записи противоречив. Для основной линейки по умолчанию указан статус "затронуто", но для ряда стабильных веток, от 5.10 до линии 7.1, отмечены версии со статусом "не затронуто". Расхождение не позволяет сделать вывод о наличии исправления, поэтому статус остаётся неясным до следующего обновления записи. Исправленная версия прямо не названа и здесь.
Сведения об эксплуатации в реальных атаках есть только у CISA: именно на этом основании записи попали в перечень. Сами записи CVE таких данных не содержат. Публичное раскрытие сведений об ошибке VMware состоялось 2026-07-29, запись опубликована 2026-07-30; запись по ядру Linux опубликована 2026-05-23 и обновлена 2026-10-29. Публикация деталей не равна подтверждённой эксплуатации, но в случае KEV подтверждение даёт именно агентство. Обе записи обновлены в один день, что говорит о продолжающейся проверке данных.
Низкая оценка ошибки VMware не отменяет её значения для того, кто уже имеет права администратора: незаметные действия упрощают сокрытие следов, хотя сам доступ к системе ошибка не открывает. Ошибка в ядре Linux при высокой оценке остаётся без описанных условий атаки, поэтому её важность зависит от того, насколько активно в инфраструктуре применяется IPsec. Администраторам стоит держать обе записи на контроле и сверять статус продуктов с уведомлениями вендоров, поскольку исправленные версии в записях не названы.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-41709
- https://www.cve.org/CVERecord?id=CVE-2026-46300
- https://www.cisa.gov/news-events/alerts/2026/10/28/cisa-adds-two-known-exploited-vulnerabilities-catalog
